新闻
News Today
微软披露Storm-3168云攻击：AI驱动勒索团伙7分钟销毁百个存储账户
9月25日，微软威胁情报团队披露了名为 Storm-3168（亦称 JadePuffer）的黑客团伙利用云服务身份进行攻击的细节。该团伙被视为首个由大模型驱动的“代理式勒索软件”，此次行动展示了其利用自动化手段在极短时间内对云资产造成大规模破坏的能力。
攻击复盘：从潜伏侦察到快速毁灭
攻击者利用两个窃取的 Azure 服务主体（Service Principal）身份，在同一租户内进行了长达十余小时的潜伏与侦察。首个身份耗时15.5小时执行了300多次读取操作，全面摸排虚拟机、订阅及资源组；随后第二个身份介入，仅用5秒便完成关键资源的枚举。在定位到 Azure App Service 配置存储中的暴露凭证后，攻击进入实质破坏阶段。
真正的破坏过程仅持续约7分钟：攻击者成功删除了100多个存储账户，以及一个 Key Vault、Function App 和 App Service plan。尽管其尝试删除 SQL 数据库和解除备份保护锁因 API 版本不支持或资源锁保护而失败，但核心数据资产仍遭受重创。值得注意的是，幸存资产主要得益于资源锁和账户级删除保护，而非身份访问控制的有效拦截。
破坏结束后约30分钟，攻击者再次利用同一身份发起30多次 ListKeys 请求，窃取了包括 Site Recovery 相关存储账户在内的访问密钥，为后续可能的勒索或数据窃取做准备。
漏洞根源：GitHub明文泄露与权限过度
此次攻击的核心入口并非技术漏洞，而是人为失误。调查显示，受害企业员工将服务主体的 Client ID、Client Secret 和 Tenant ID 明文发布在公开 GitHub Issue 中。尽管后续编辑删除了密钥，但其仍留存在公开的编辑历史、缓存及日志中。只要密钥未轮换，攻击者即可随时利用。
此外，微软强调攻击全程未涉及提权操作。攻击者使用的权限均为服务主体原本持有的 Storage Account Contributor、Contributor 和 SQL DB Contributor 角色。这暴露出企业在云服务中普遍存在的“权限过度分配”问题，工作负载身份拥有的权限远超其实际需求。
战术特征：自动化压缩防御窗口
微软将该团伙定义为“代理式”攻击，依据是其高度自动化的执行节奏：多令牌并行签发、不同类型资源并行删除、从侦察到清理再到窃密的全流程自动化。这种机器编排的攻击方式将传统人工需数小时完成的破坏压缩至7分钟内，极大压缩了安全团队的响应窗口，使得基于人工监控的传统防御体系难以有效应对。
尽管具备典型的勒索准备动作（删资源、拆恢复、捞凭证），但微软目前未观察到勒索信或明确的数据外泄迹象，推测这可能是一次预演或未完成的攻击。
安全建议：强化身份管理与自动化监控
针对此类新型云威胁，企业应采取以下应对措施：
1. **彻底轮换密钥**：排查所有公开代码仓库及 Issue，对曾暴露过的密钥立即进行轮换，即使已在界面上删除。
2. **实施最小权限原则**：严格审查服务主体的角色分配，移除不必要的删除和管理权限，限制工作负载身份的能力边界。
3. **加固备份基础设施**：对 Terraform、Backup 等关键恢复资源启用资源锁和删除保护，防止攻击者切断恢复路径。
4. **提升监控自动化水平**：部署能够识别短时间内批量 ListKeys、大规模读取及异常批量删除行为的自动化告警机制，以匹配机器攻击的速度。
信息来源：Microsoft Security Blog