JadePuffer destrói recursos Azure em sete minutos com ataque por proxy

Visão geral do incidente

Em junho de 2026, a equipa de segurança da Microsoft publicou, no blog oficial Microsoft Security Blog, a divulgação de duas ocorrências distintas de ataques dirigidos a recursos Azure, nos quais foram utilizadas identidades de serviço que já estavam comprometidas. O atacante recebeu o codinome interno JadePuffer, e o incidente foi rastreado internamente sob a designação Storm‑3168. Cada um dos dois episódios ocorreu em inquilinos (tenants) diferentes, mas ambos partilharam um padrão comum: o invasor primeiro conseguiu obter credenciais válidas de uma identidade de serviço, e, em seguida, passou a operar como um agente proxy, enviando um volume elevado de comandos de leitura, escrita e destruição contra os recursos da nuvem.

Métodos de ataque e cronologia

No primeiro dos incidentes descritos, a identidade de serviço comprometida manteve um período de reconhecimento que se estendeu por aproximadamente quinze horas e trinta minutos. Durante esse intervalo, foram realizadas mais de trezentas operações de leitura, permitindo ao atacante mapear a topologia dos recursos e identificar alvos potenciais. No segundo incidente, a sequência de ações foi ainda mais rápida: em apenas trinta e cinco minutos, o invasor desencadeou mais de cento e cinquenta operações que visavam a destruição de recursos ou a recolha de credenciais adicionais. A fase central de destruição durou cerca de sete minutos, durante os quais foram feitas tentativas de eliminação de mais de cem contas de armazenamento.

Durante esses sete minutos críticos, o atacante iniciou por enumerar os recursos alvo, obtendo uma lista completa dos objetos que pretendia afetar. Em seguida, invocou a API de eliminação (Delete API) com o objetivo de remover contas de armazenamento e outros serviços associados. Embora uma parte significativa dos recursos tivesse previamente ativado mecanismos de bloqueio (resource lock) ou de proteção contra eliminação (delete protection), o que impediu que as solicitações de remoção fossem concluídas, o volume de tentativas enviadas foi muito elevado, revelando que os scripts automatizados do invasor eram capazes de gerar chamadas a uma frequência muito alta.

• Mais de 100 tentativas de eliminação de contas de armazenamento
• Mais de 150 operações de destruição ou recolha de credenciais
• Mais de 300 solicitações de leitura de reconhecimento (primeiro incidente)
• Mais de 30 chamadas ListKeys (cerca de 30 minutos depois)

Evidências e fontes

A Microsoft classificou este tipo de ataque sob a etiqueta Storm‑3168 e sublinhou que o invasor utilizou as credenciais da identidade de serviço obtidas para executar operações em modo proxy. Segundo a cobertura do iThome, algumas das credenciais de identidade de serviço apareceram anteriormente em um issue público no GitHub; no entanto, a Microsoft não confirmou que essas credenciais específicas fossem a origem da intrusão relatada.

Ao longo da investigação, a Microsoft não encontrou indícios de mensagens de resgate (ransom notes) nem evidências claras de exfiltração de dados confidenciais. O único comportamento subsequente observado foi que, aproximadamente trinta minutos após a fase de destruição, o atacante conseguiu emitir mais de trinta solicitações do tipo ListKeys, indicando que continuava a tentar obter chaves adicionais e, potencialmente, a expandir o seu acesso a outros recursos.

Impacto e eficácia das defesas

Os mecanismos de bloqueio de recursos (resource lock) e de proteção contra eliminação (delete protection) desempenharam um papel defensivo crucial neste ataque, impedindo que a maioria das contas de armazenamento fosse realmente apagada. Por outro lado, as tentativas de eliminação dirigidas ao Azure SQL falharam porque a versão da API utilizada pelo invasor não era suportada, o que reduziu ainda mais o potencial de perda de dados.

Apesar de essas defesas terem bloqueado parte da destruição, o atacante ainda conseguiu enumerar recursos e obter chaves, demonstrando que a simples aplicação de bloqueios de recursos não é suficiente para impedir completamente um ataque realizado por meio de um agente proxy. A Microsoft recomenda que os inquilinos afetados revisem imediatamente o uso de credenciais de todas as identidades de serviço, ativem o acesso condicional (conditional access) e adotem o princípio do menor privilégio (least‑privilege) para limitar o alcance de possíveis abusos.

Quanto às mudanças futuras de segurança, a Microsoft anunciou que irá integrar alertas em tempo real para comportamentos anómalos de identidades de serviço nos seus serviços de monitorização Azure, bem como reforçar as verificações de compatibilidade de versões de API, de modo a reduzir a superfície de ataque associada ao uso de APIs desatualizadas. As empresas são também lembradas da importância de rodar periodicamente as chaves das identidades de serviço e de aplicar políticas de proteção contra eliminação mais rigorosas a recursos sensíveis, como forma de mitigar riscos semelhantes no futuro.