被称为 JADEPUFFER 的威胁行为者已被观察到在 Microsoft Azure 环境中利用被攻陷的服务主体进行破坏性操作。
微软将这一活动称为 Storm-3168，并表示这是该威胁行为者战术的演变。攻击发生在 2026 年 6 月初，持续了大约 18 小时。
“破坏性操作是通过攻陷服务主体来实现的，目标包括 Azure 存储帐户、SQL 数据库、密钥保管库、函数应用、恢复保护锁、虚拟机和应用服务，”研究人员 Yossi Weizman 和 Tushar Mudi 以及微软安全研究团队表示。
JADEPUFFER 首次由 Sysdig 记录，描述其为首个完全由大型语言模型（LLM）支持的端到端勒索软件操作。该代理攻击利用了 Langflow 中的已知安全漏洞 (CVE-2025-3248) 进行入侵，收集凭证，深入网络，加密 Nacos 服务配置文件，删除原始数据库表，并留下要求比特币支付的赎金通知。
虽然发现该攻击利用了 MySQL 内置的 AES_ENCRYPT() 函数来执行加密步骤，但同一 Langflow 实例随后又被威胁行为者第二次攻击，使用了一种名为 ENCFORGE 的编译 Go 基础勒索软件变种。
ENCFORGE 专门为人工智能（AI）基础设施构建，扫描近 180 种文件扩展名，包括模型检查点、向量数据库、训练数据集和嵌入索引，以及 macOS 相关文件，如钥匙串存储、Xcode 项目文件和 Apple Pages 和 Numbers 文档。
“一个自主代理对其目标进行了推理，收集并重用凭证，横向移动，建立持久性，并摧毁了一个数据库，整个过程叙述了其意图，”Sysdig 当时指出。“虽然这些个别技术并不新颖或复杂，但值得注意的是，一个 AI 模型将它们串联成一个完整的针对被忽视的互联网基础设施的勒索软件操作。”
微软在其分析中表示，观察到两个与同一租户相关的被攻陷服务主体，其中一个用于侦察和资源发现，第二个用于破坏性操作和凭证收集。
枚举活动针对 Azure 虚拟机、订阅、资源组和资源进行了近 16 小时的操作，在此期间执行了超过 300 次读取操作。第二个被攻陷的服务主体在 90 分钟后也进行了自己的发现操作，在五秒内枚举了两个订阅中的虚拟机和资源组。
经过 16 小时，第二个服务主体还成功枚举了 Azure 应用服务配置存储，可能是在尝试寻找暴露的凭证。随后，该服务主体在 35 分钟内进行了超过 150 次与破坏或凭证收集相关的操作。
总体而言，破坏序列持续了约七分钟，并涉及超过 100 次存储帐户删除尝试。还针对了 Azure 密钥保管库、函数应用和应用服务计划，以及多个 Azure SQL 数据库。然而，由于使用了不受支持的 API 版本，所有数据库删除尝试均以失败告终。
“威胁行为者针对的大多数 Azure 存储帐户均已成功删除，”微软表示。“然而，Azure 资源锁定和存储帐户级删除保护阻止了少数存储帐户的删除尝试，证明了即使在被攻陷身份具有广泛管理权限时，独立保护措施仍然有效。”
微软表示尚不清楚服务主体是如何被攻陷的，但观察到其客户端 ID、客户端密钥和租户 ID 之前曾在受影响组织的一名员工的公开 GitHub 问题中以明文形式暴露。尽管该密钥已被删除，但仍可通过公共编辑历史访问。
微软还表示，已检测到与 Storm-3168 相关的基础设施对多个 Azure 应用服务进行重复探测，补充说，由于使用多个服务主体的工作分配和不同操作之间的时间间隔，这些攻击可能是自动化或脚本化的。
攻击的最终目标被评估为与勒索软件相关，因为它导致了多个 Azure 资源的删除，除了备份和恢复相关资源，表明威胁行为者试图削弱受害者从破坏活动中恢复的能力。然而，并未观察到与入侵相关的赎金通知或成功的数据外泄。
“这一活动突显了向 AI 协调攻击的更广泛转变，威胁行为者能够以更快的速度和规模协调复杂的后妥协操作，”微软表示。“随着这些能力的发展，防御者也必须利用 AI 在大环境中进行调查和响应。”
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，阅读更多我们发布的独家内容。