35 मिनट में 150 विनाशकारी क्रियाएँ
माइक्रोसॉफ्ट ने एक क्लाउड घुसपैठ का विश्लेषण प्रकाशित किया जिसमें Storm-3168 नाम से ट्रैक किए जाने वाले हमलावर ने एक Azure टेनेंट के भीतर 35 मिनट में 150 से अधिक विनाशकारी या प्रमाण-पत्र जुटाने वाली क्रियाएँ आजमाईं। मिटाने का चरण खुद करीब सात मिनट चला और उसमें स्टोरेज खातों को हटाने की 100 से अधिक कोशिशें थीं।
Sysdig, जिसने जुलाई में इस समूह को पहली बार दर्ज किया था, इसे JADEPUFFER नाम से ट्रैक करती है और इसे भाषा मॉडल से संचालित पहला दर्ज रैंसमवेयर अभियान बताती है।
निशाने पर थे Azure स्टोरेज खाते, जहाँ अधिकांश विलोपन सफल रहे; Key Vaults; SQL डेटाबेस, जहाँ कोशिशें इसलिए विफल रहीं कि इस्तेमाल किए गए एपीआई संस्करण समर्थित नहीं थे; Function Apps और App Service योजनाएँ; और Azure Site Recovery तथा Azure Backup के सुरक्षा ताले — यानी वही नियंत्रण जो बहाली संभव बनाते हैं।
भीतर आने का रास्ता एक सार्वजनिक GitHub इशू था
प्रवेश बिंदु वह हिस्सा है जिसे रक्षकों को दो बार पढ़ना चाहिए। माइक्रोसॉफ्ट का कहना है कि हमलावरों ने उसी टेनेंट में दो समझौता किए गए सर्विस प्रिंसिपल इस्तेमाल किए — वही गैर-मानवीय पहचानें जो एप्लिकेशन और स्वचालित उपकरणों को Azure में प्रमाणित होने देती हैं।
माइक्रोसॉफ्ट लिखती है कि उनके प्रमाण-पत्र «पहले एक सार्वजनिक GitHub इशू में सादे पाठ में उजागर हो चुके थे।» गोपनीय जानकारी बाद में हटाई गई, पर वह «इशू के सार्वजनिक संपादन इतिहास के जरिये सुलभ बनी रही।»
इसमें कुछ भी एआई की माँग नहीं करता। जो बात व्यवस्था-संचालन का संकेत देती है वह गति है: माइक्रोसॉफ्ट की समयरेखा में पहला सर्विस प्रिंसिपल 15.5 घंटे तक संसाधन गिनता है, दूसरा 90 मिनट बाद शुरू होता है, 16 घंटे पर App Service विन्यास की जाँच होती है, फिर सात मिनट का विनाश चरण और उसके 30 मिनट बाद प्रमाण-पत्र बटोरने की बौछार।
कोई फिरौती संदेश नहीं
असामान्य ब्यौरा यह है कि क्या नहीं हुआ। माइक्रोसॉफ्ट साफ लिखती है: «यहाँ वर्णित गतिविधि में हमने न कोई फिरौती संदेश देखा, न सफल डेटा निर्यात की पुष्टि की।»
फिर भी हमलावर ने पहले बैकअप और बहाली के ताले हटाए, जो ठीक वही है जो कोई वसूली अभियान करता है ताकि भुगतान ही एकमात्र रास्ता बचे। या तो माँग किसी ऐसे रास्ते से आई जो माइक्रोसॉफ्ट ने नहीं देखा, या विनाश ही मकसद था।
माइक्रोसॉफ्ट इस मामले को «एआई-संचालित हमलों» का उदाहरण बताती है, «जहाँ खतरे के कर्ता क्लाउड परिवेशों में समझौते के बाद की जटिल कार्रवाइयाँ अधिक गति और पैमाने पर समन्वित कर सकते हैं।» उसका अपना ब्लॉग यह ब्यौरा नहीं देता कि Storm-3168 ने कौन-सी एजेंट प्रणाली इस्तेमाल की, और यह अंतर ध्यान देने योग्य है: गति दर्ज है, पर उस गति को किसी मॉडल से जोड़ना समूह के बारे में Sysdig का वर्णन है, न कि कुछ ऐसा जो माइक्रोसॉफ्ट इस पोस्ट में दिखाती हो।
इसका क्या करें
माइक्रोसॉफ्ट के उपाय चमक-दमक से रहित हैं और ज्यादातर एजेंटों से पुराने: Defender for Cloud चालू करें, प्रमाण-पत्र कोड भंडारों और इशू धागों से बाहर रखें, उजागर प्रमाण-पत्र तुरंत बदलें, सर्विस प्रिंसिपल को न्यूनतम अधिकार दें, और बैकअप अवसंरचना की रक्षा करें। कंपनी अपने एजेंट-आधारित रक्षा उपकरणों की सिफारिश भी करती है।
हस्तांतरणीय सबक इससे संकरा है। दो साल पहले किसी GitHub इशू में चिपकाया गया रहस्य हमेशा से जोखिम रहा है। जो बदला है वह यह है कि प्रमाण-पत्र मिलने और स्टोरेज खातों के गायब होने के बीच अब रक्षक के पास कितना कम समय बचता है।
