Microsoft varnar företagskunder för en eskalerande våg av cyberattacker som riktar sig mot dess Azure Blob Storage-tjänst.
I en detaljerad rådgivning som publicerades den 20 oktober, beskrev företagets Threat Intelligence-team hur hotaktörer aktivt utnyttjar vanliga felkonfigurationer, svaga uppgifter om åtkomst till företagsdata och dåliga behörighetskontroller för
. alert beskriver en sofistikerad attackkedja, från initial spaning till fullskalig dataexfiltrering och destruktion. Med hänvisning till den avgörande roll Blob Storage spelar för att hantera enorma dataarbetsbelastningar för AI och analys, uppmanar Microsoft administratörer att implementera starkare säkerhetsprotokoll för att minska den växande risken.
Ett högvärdigt mål som är mogen för exploatering
Azure Blob Storage har blivit en hörnsten i använd modern infrastruktur av organisationer för att hantera enorma volymer av ostrukturerad data.
Dess flexibilitet gör den oumbärlig för en rad kritiska funktioner, inklusive lagring av AI-träningsmodeller, stöd för högpresterande datoranvändning (HPC), köra storskalig analys, hosta media och hantera företagssäkerhetskopieringar.
Tyvärr gör denna centrala roll även att inrikta sig på den här centrala rollen. hög inverkan data.
Microsofts Threat Intelligence-team förklarade det strategiska värdet av denna tjänst för angripare.”Blob Storage, precis som alla objektdatatjänster, är ett värdefullt mål för hotaktörer på grund av dess avgörande roll i att lagra och hantera enorma mängder ostrukturerad data i stor skala över olika arbetsbelastningar.”
Teamet noterade vidare att hotaktörer inte bara är opportunistiska utan systematiskt söker efter sårbara miljöer. De försöker kompromissa med system som antingen är värd för nedladdningsbart innehåll eller fungerar som storskaliga datalager, vilket gör Blob Storage till en mångsidig vektor för ett brett spektrum av attacker.
Dekonstruera molnattackkedjan
Vägen från initial undersökning till större dataintrång följer ett väldefinierat mönster, som Microsofts försvarare har kartlagt för att hjälpa dem att hjälpa dem. Attacken är inte en enskild händelse utan en process i flera steg som börjar långt innan någon data stjäls.
Angripare börjar ofta med bred spaning och använder automatiska verktyg för att söka efter lagringskonton med offentligt tillgängliga slutpunkter eller förutsägbara namn. De kan också använda språkmodeller för att generera rimliga behållarnamn för mer effektiv brute-forcing.
När ett potentiellt mål har identifierats söker de efter vanliga svagheter, såsom exponerade lagringskontonycklar eller starget_blank”signatur (SAS)-tokens upptäckts i offentliga kodförråd.
Efter att ha fått första åtkomst skiftar fokus till att etablera persistens. En angripare kan skapa nya roller med förhöjda privilegier, generera långlivade SAS-tokens som fungerar som bakdörrar eller till och med manipulera åtkomstpolicyer på containernivå för att tillåta anonym åtkomst.
Därifrån kan de flytta i sidled, vilket potentiellt kan utlösa nedströmstjänster som Azure Functions eller Logic Apps för att eskalera sina privilegier ytterligare. De sista stegen kan involvera datakorruption, radering eller storskalig exfiltrering, ofta med hjälp av pålitliga Azure-native-verktyg som AzCopy för att blanda in ett legitimt nätverk trafik och undvika upptäckt.
De verkliga konsekvenserna av sådana felkonfigurationer kan vara förödande. I en anmärkningsvärd tidigare incident, avslöjade ett rekryterande mjukvaruföretag av misstag nästan 26 miljoner filer som innehåller meritförteckningar när det lämnade en Azure Blob Storage-behållare felaktigt säkrad,
