JadePuffer/Storm-3168: pelaku agentik menghapus penyimpanan tenant Azure dalam ledakan destruktif selama 7 menit

Microsoft Security Research melaporkan pada 25 September 2026 bahwa aktor yang menggunakan dua service principal yang dikompromikan beroperasi di dalam tenant Azure yang tidak disebutkan namanya pada awal Juni 2026, dimulai dengan lebih dari 15 jam pengintaian, lalu dalam sekitar tujuh menit mencoba menghapus lebih dari 100 akun penyimpanan, berhasil terhadap sebagian besar akun tersebut, dan menghapus Azure Key Vault, Function App, dan App Service plan. Microsoft mengaitkan intrusi tersebut dengan aktor yang mereka lacak sebagai Storm-3168, yang oleh firma keamanan Sysdig disebut JADEPUFFER dan didokumentasikan pada Juli 2026 sebagai operasi ransomware pertama yang dijalankan dari awal hingga akhir oleh model bahasa besar. Microsoft mengatakan tidak menemukan catatan tebusan dan tidak mengonfirmasi bahwa ada data yang dieksfiltrasi. Arsip mencatat kampanye ini sebagai insiden tingkat keparahan tinggi dengan keterlibatan AI yang terkonfirmasi dan kerugian nyata, dan entri lengkap dalam Arsip Insiden AI Orca memuat sumber, tingkat keparahan, dan penilaian keyakinannya.

Korban tidak disebutkan namanya. Laporan Microsoft menggambarkan satu tenant Azure, dua service principal yang telah disusupi dan dimiliki oleh tenant tersebut, serta pembagian kerja di antara keduanya: satu principal menangani pengintaian selama sekitar 15 jam 30 menit dan melakukan lebih dari 300 operasi baca yang berhasil untuk mengenumerasi virtual machine, langganan, grup sumber daya, dan sumber daya; principal lainnya melakukan penemuan, operasi destruktif, dan pengumpulan kredensial. Microsoft tidak menyebutkan berapa banyak organisasi yang terdampak, dan tidak dapat memastikan bagaimana kedua service principal tersebut pertama kali disusupi.

Apa yang ditunjukkan telemetri, secara berurutan

Principal kedua mulai sekitar 90 menit setelah yang pertama dimulai, dan mengenumerasi mesin virtual serta grup sumber daya di dua langganan dalam waktu sekitar lima detik, menurut Microsoft. Kedua identitas menggunakan infrastruktur yang dikaitkan Microsoft dengan Storm-3168, berbagi sidik jari jaringan yang sama, dan menampilkan user agent yang sama, python-requests/2.34.2. Microsoft mengatakan waktu dan pembagian kerja "sangat menunjukkan eksekusi otomatis atau berskrip."

Sekitar 16 jam kemudian, principal kedua memeriksa penyimpanan konfigurasi Azure App Service untuk mencari kredensial yang terekspos dan mencari Azure OpenSearch, tetapi tidak berhasil. Tujuh puluh detik setelah itu, ia mencoba operasi ListKey terhadap akun penyimpanan yang tidak ada. Kurang dari satu detik setelah panggilan yang gagal itu, penghancuran dimulai. Selama 35 menit berikutnya, Microsoft menghitung lebih dari 150 operasi destruktif atau pengumpulan kredensial; fase destruktif inti berlangsung sekitar tujuh menit.

Tujuh menit itu, dan kendali yang bertahan

Microsoft mengatakan sebagian besar akun penyimpanan yang menjadi target pelaku berhasil dihapus. Pelaku juga menghapus Azure Key Vault, Function App, dan App Service plan yang berada dalam grup sumber daya yang sama dan tampaknya mendukung Function App tersebut. Penargetan tidak terbatas pada penyimpanan: Microsoft mencatat beberapa upaya untuk menghapus kunci Azure Site Recovery dan kunci perlindungan Azure Backup, dan melaporkan bahwa upaya-upaya tersebut gagal.

Microsoft mengatakan tidak semua penghapusan berhasil, dan alasannya berbeda dalam cara yang penting bagi para defender. Beberapa akun penyimpanan selamat karena kunci sumber daya Azure dan perlindungan penghapusan tingkat akun penyimpanan memblokir operasi tersebut. Upaya paralel untuk menghapus basis data Azure SQL gagal karena alasan yang berbeda: semuanya menggunakan versi API yang tidak didukung. Cloud Security Alliance menggambarkan hal itu sebagai kesalahan operasional, bukan tindakan yang diblokir. Microsoft merangkum kombinasi penghapusan sumber daya, upaya mengganggu pemulihan, dan pengumpulan kredensial sebagai "konsisten dengan taktik yang dapat mendukung operasi ransomware dan pemerasan."

Uraian Microsoft menjelaskan penugasan peran Azure biasa, bukan eksploitasi Azure itu sendiri. Ditemukan bahwa peran yang diberikan kepada grup Storage Account Contributor memungkinkan penghancuran penyimpanan, dan peran Contributor langsung memungkinkan penghapusan tiga sumber daya aplikasi dan pengambilan kunci lainnya, dan peran SQL DB Contributor langsung memungkinkan percobaan SQL yang gagal. Microsoft mengamati lima token unik yang diterbitkan untuk service principal kedua: empat mendukung penghapusan dan yang kelima menangani inventaris penyimpanan dan pengambilan kunci. Dua dari token penghapusan aktif selama periode 70 detik yang sama. Laporan juga mencatat bahwa akun penyimpanan dengan nama bertema terraform dan backup termasuk di antara target, berpotensi untuk mengganggu pemulihan.

Nilai kembalian untuk kunci penyimpanan

Sekitar 30 menit setelah penghancuran berakhir, principal yang sama kembali. Itu menginventarisasi akun penyimpanan dan melakukan lebih dari 30 permintaan ListKeys yang berhasil, termasuk terhadap penyimpanan yang terkait dengan Site Recovery. Akun penyimpanan dengan nama serupa dalam grup sumber daya yang sama telah terhindar selama fase penghapusan dan kemudian berhasil dilakukan ListKeys terhadapnya. Microsoft tidak mengamati catatan tebusan dan tidak mengonfirmasi keberhasilan eksfiltrasi data, tetapi mengatakan bahwa kunci yang dikumpulkan dapat mendukung eksfiltrasi di masa mendatang.

Urutan peristiwa itu mengubah makna pemulihan, menurut Ross Filipek, kepala petugas keamanan informasi di Corsica Technologies, yang berbicara kepada CSO Online tentang insiden tersebut. Membangun kembali aset yang dihapus tidaklah cukup, katanya, karena permintaan kunci penyimpanan yang muncul belakangan dapat menciptakan jalur lain ke data; tim penanggulangan harus menetapkan identitas dan kunci mana yang terkena dampak dan meninjau penggunaannya sebelum memercayai layanan yang dipulihkan. "Begitu penyerang memegang identitas aplikasi, aktivitas mereka dapat terlihat seperti administrasi cloud biasa," kata Filipek kepada CSO Online.

Bagaimana kredensial tersebut terungkap

Microsoft tidak dapat mengonfirmasi vektor akses awal. Yang ditemukannya adalah eksposur: client ID, client secret, dan tenant ID untuk salah satu service principal telah muncul dalam teks biasa di issue GitHub publik, yang diposting oleh seorang karyawan organisasi terdampak. Issue tersebut kemudian diedit, tetapi Microsoft mengatakan bahwa rahasia itu tetap dapat diakses melalui riwayat edit publik issue tersebut. Laporan itu menyatakan secara jelas bahwa Microsoft tidak dapat mengonfirmasi apakah rahasia ini yang digunakan.

Peringatan yang terlampir pada temuan itu adalah bagian praktisnya. Microsoft menyatakan bahwa kredensial yang telah terekspos secara publik harus dianggap sebagai terkompromi, dicabut atau dirotasi segera, dan diselidiki untuk penggunaan sebelumnya; menghapus atau menyensor rahasia yang terekspos tidak membatalkannya, dan kredensial yang terekspos secara publik tetap dapat digunakan sampai dicabut atau dirotasi.

Microsoft juga memaparkan penyelidikan yang lebih luas oleh infrastruktur terkait Storm-3168 sejak awal 2026 terhadap Azure App Services pada administrasi WordPress, PHP-CGI, endpoint Langflow /api/v1/validate/code, dan jalur yang menyerupai webshell. Target-target tersebut tidak tumpang tindih dengan langganan korban, dan Microsoft tidak menemukan jalur dari App Service ke kredensial Azure Resource Manager. Laporan itu mencantumkan tiga indikator: 45.131.66[.]106 untuk penyelidikan dan permintaan ARM berbahaya, serta 34.153.223[.]102 dan 64.20.53[.]230 untuk penyelidikan App Service.

Pelaku yang sama, operasi yang berbeda

Laporan Sysdig tanggal 1 Juli 2026 adalah alasan kata "agentic" sama sekali dilekatkan pada aktor ini. Sysdig mendeskripsikan JADEPUFFER sebagai kasus ransomware agentic pertama yang terdokumentasi — "operasi pemerasan lengkap yang dijalankan dari awal hingga akhir oleh sebuah model bahasa besar" — dan menyatakan bahwa kemampuannya berasal dari agen AI, bukan dari perangkat alat yang dijalankan manusia. Dalam intrusi tersebut, aktor itu mengeksploitasi CVE-2025-3248 pada instans Langflow yang terpapar internet, mengenkripsi 1.342 item konfigurasi Nacos menggunakan fungsi bawaan MySQL AES_ENCRYPT(), menghapus tabel aslinya, dan meninggalkan tabel README_RANSOM berisi alamat Bitcoin dan kontak Proton Mail. Sysdig melaporkan lebih dari 600 payload berbeda, kode yang menarasikan dirinya sendiri, serta payload korektif multi-langkah yang menyusul kegagalan login Nacos dalam 31 detik. Sysdig juga menyatakan bahwa pihaknya tidak memiliki visibilitas terhadap system prompt atau konfigurasi agen tersebut.

Kampanye Azure adalah operasi tersendiri oleh aktor yang sama, bukan pengulangan intrusi Juli: fokusnya adalah penghapusan dan pengumpulan kunci, bukan enkripsi, dan Microsoft tidak menemukan catatan tebusan. Kaitan antara keduanya sebagian bertumpu pada infrastruktur. Cloud Security Alliance mencatat dalam catatan riset 28 September bahwa dua alamat IP yang dicantumkan Microsoft, 45.131.66[.]106 dan 34.153.223[.]102, telah muncul dalam laporan Sysdig Juli. Catatan yang sama memperingatkan bahwa penggunaan ulang IP saja tidak dapat menyingkirkan kemungkinan adanya hosting pihak ketiga bersama.

Mapan, dinilai, dan masih terbuka

Mekanisme intrusi Azure terdokumentasi dengan baik. Otonominya tidak terdokumentasi dengan standar yang sama, dan perbedaan itulah kualifikasi terpenting dalam catatan ini.

Ditetapkan oleh telemetri Microsoft: dua service principal yang dikompromikan dalam satu tenant; lebih dari 300 operasi baca yang berhasil selama sekitar 15 setengah jam; lebih dari 100 upaya penghapusan akun penyimpanan, yang sebagian besar berhasil; penghapusan sebuah Key Vault, sebuah Function App, dan sebuah App Service plan; penghapusan database SQL yang semuanya gagal karena versi API yang tidak didukung; akun penyimpanan yang diselamatkan oleh kunci sumber daya dan perlindungan penghapusan; lebih dari 30 permintaan ListKeys yang berhasil setelah penghancuran; kredensial service principal plaintext di issue GitHub publik dan riwayat editnya; tidak ada catatan tebusan yang teramati; dan tidak ada eksfiltrasi yang terkonfirmasi.

Dinilai oleh Microsoft: bahwa aktivitas tersebut milik Storm-3168; bahwa kombinasi penghapusan, gangguan pemulihan, dan pengumpulan kunci konsisten dengan ransomware dan pemerasan; bahwa eksekusi tersebut kemungkinan otomatis atau berskrip; dan bahwa kunci yang dikumpulkan dapat mendukung eksfiltrasi di masa depan. Laporan publik Microsoft tidak menjelaskan agen otonom yang menalar melalui langkah-langkah khusus Azure.

Terbuka: bagaimana principal layanan pertama kali dikompromikan; identitas korban dan jumlah organisasi yang terdampak; apakah ada data yang keluar dari tenant; dan apakah agen AI, bukan skrip, yang mengarahkan operasi Azure itu sendiri.

Cloud Security Alliance menempatkan celah pembuktian secara tepat dalam catatannya pada 28 September: karakterisasi "agentic", tulisnya, saat ini bersandar "pada presisi, tempo, dan pembagian kerja di berbagai identitas," bukan pada jejak penalaran agen yang terekam. Bukti yang digunakan Sysdig pada Juli — payload yang menarasikan diri dan siklus diagnosis-dan-koreksi yang cepat — tidak ada dalam catatan publik kampanye Azure. Nick Tausek dari perusahaan keamanan Swimlane mengatakan kepada CSO Online bahwa bukti Azure menunjukkan "otomasi yang terkoordinasi, bukan membuktikan bahwa AI mengarahkan setiap langkah."

Cakupan pemberitaan atas pengungkapan tersebut menggunakan framing yang lebih kuat. Judul BleepingComputer menyebut "serangan AI agentic" terhadap Azure, dan judul Dark Reading menyebut "aktor AI" yang mengompromikan tenant Azure; laporan Microsoft sendiri menyatakan bahwa waktu dan pembagian kerja "strongly indicates automated or scripted execution" dan tidak mengaitkan langkah-langkah Azure secara individual dengan sebuah agen.

Arsip memberi catatan ini nilai keyakinan A dan tidak menandainya sebagai diperselisihkan. Label keterlibatan AI "terkonfirmasi" pada catatan ini bergantung pada atribusi kepada JADEPUFFER, aktor yang didokumentasikan Sysdig sebagai digerakkan oleh LLM; ini bukan klaim bahwa Microsoft menangkap penalaran agen selama penghapusan Azure. Kerugiannya sudah terbukti, otomasinya sudah terbukti, dan otonominya disimpulkan.

Apa yang menurut Microsoft harus diubah

Rekomendasi Microsoft bersifat operasional, dan mengikuti langsung cara intrusi ini bekerja. Rekomendasi ini meminta para defender untuk mengaktifkan paket Microsoft Defender for Cloud yang relevan bagi Resource Manager, Storage, Key Vault, App Service, dan Database; menjaga kredensial service principal, kunci penyimpanan, connection string, dan rahasia lain agar tidak berada di kode sumber, konfigurasi, repositori, dan issue; menggunakan Microsoft Entra Workload ID alih-alih rahasia berumur panjang; menerapkan hak istimewa minimum dan meninjau penetapan Azure RBAC untuk identitas beban kerja; serta membatasi dan memantau sumber daya backup dan pemulihan, termasuk upaya mengubah kontrol perlindungannya.

Laporan publik Microsoft tidak menyebutkan apakah tenant memulihkan datanya, apakah korban diberi tahu, atau apakah salah satu kunci yang dikumpulkan digunakan setelahnya. Hasil-hasil tersebut tidak ada dalam catatan. Yang memang tercatat adalah kontras yang terukur: kunci sumber daya dan perlindungan penghapusan memblokir sejumlah penghapusan bahkan terhadap identitas dengan hak istimewa yang luas, sementara database SQL terselamatkan oleh kesalahan versi API, bukan oleh keputusan pihak bertahan. Laporan Microsoft tidak menyebutkan apa yang dilakukan tenant selanjutnya. Yang disebutkan adalah bahwa aktor menghabiskan lebih dari 15 jam untuk membaca sebelum menghabiskan tujuh menit untuk menghapus.