Service principal merupakan identitas keamanan yang digunakan aplikasi, layanan, dan perangkat otomatis untuk melakukan autentikasi ke Microsoft Azure serta mengakses sumber daya yang diberikan.
Kedua service principal berasal dari tenant yang sama. Salah satunya digunakan untuk melakukan pengintaian dan menemukan sumber daya. Sementara lainnya digunakan untuk melakukan pengintaian, operasi penghancuran, serta pengumpulan kredensial.
Storm-3168 juga menghapus perlindungan pencadangan dan pemulihan, termasuk Azure Site Recovery locks. Langkah tersebut berpotensi menyulitkan proses pemulihan sistem setelah sumber daya dihancurkan.
Microsoft menyebut pola serangan tersebut dapat mendukung aksi pemerasan ransomware. Namun, perusahaan tidak melaporkan adanya tuntutan pembayaran tebusan dan belum mengonfirmasi pencurian data dalam serangan yang diamati.
Sejumlah upaya penghancuran tidak berhasil. Percobaan menghapus database Azure SQL gagal lantaran pelaku menggunakan versi API yang tidak didukung. Beberapa perlindungan sumber daya juga tetap bertahan karena adanya resource locks dan perlindungan pada tingkat Storage Account.
“Penargetan secara paralel terhadap database Azure SQL dan Storage Account menunjukkan upaya untuk memperluas dampak penghancuran ke berbagai layanan data, bukan hanya berfokus pada satu jenis sumber daya,” kata Microsoft.
Sekitar 30 menit setelah melakukan upaya penghapusan, Storm-3168 kembali melakukan lebih dari 30 permintaan untuk mendapatkan kunci Storage Account. Sebagian besar permintaan tersebut berhasil. Microsoft belum dapat memastikan bagaimana pelaku memperoleh akses awal. Namun, peneliti menemukan kredensial salah satu service principal muncul dalam issue publik di GitHub sebelum serangan berlangsung.
Guna mengurangi risiko, Microsoft merekomendasikan administrator mengaktifkan perlindungan terhadap beban kerja cloud, memeriksa kemungkinan kebocoran secret di repositori publik, serta mengevaluasi izin Azure Role-Based Access Control (RBAC) berdasarkan prinsip least privilege.
(bbn)
