JadePuffer passa alla distruzione automatizzata in Azure
Microsoft dice che JadePuffer, o Storm-3168, è passato da una campagna Azure ampia a un playbook più preciso: due service principals compromessi hanno permesso di mappare il tenant e colpire i controlli di recovery. In questa fase, la distruzione non è stata un effetto collaterale. È diventata il bersaglio operativo.
Una service principal è un'identità macchina che Azure tratta come autorizzata. Se viene rubata, l'attaccante può leggere, enumerare e cancellare risorse senza una normale login utente. Qui Microsoft ha visto una identity dedicata alla ricognizione e un'altra alle azioni distruttive, con i backup e i recovery controls dentro il set di obiettivi.
Per chi gestisce app registrations, service principals o workload identities, il rischio è che l'infrastruttura di recovery non resti fuori dal colpo. Microsoft collega inoltre la stessa filiera a CVE-2025-3248 in Langflow, che va trattata come patch urgente: il quadro complessivo è quello di un attacco cloud che può togliere anche la via di ritorno.
CVSS 9.8 CRITICAL: langflow versions prior to 1.3.0 are susceptible to code injection in
the /api/v1/validate/code endpoint. EPSS 100% (100º percentile).
Data di correzione federale CISA 26 mag · data superata
JadePuffer agentic AI attacks target Azure, destroy cloud resources
The JadePuffer ransomware operator is targeting Azure tenants with agent-driven attacks that conduct reconnaissance, steal credentials, and destroy core components.