jadepuffer yine başını belirtti: azure ortamında hava atıyor

arkadaşlar, microsoft’un storm-3168 diye takip ettiği jadepuffer adlı saldırgan grubu yine saçmalık yapmış. bu sefer de azure ortamlarında compromised service principal’ları kullanarak kaynakları silmeyi başarmışlar. kısacası, bulut ortamınızı silerken eğleniyorlar. spoiler: bu açık aktif olarak sömürülüyor, dikkat edin.

nedir bu jadepuffer işi?

jadepuffer, microsoft’un takip ettiği bir tehdit aktörü grubu. bunlar genelde veri hırsızlığından ziyade, ortamları “temizleme” tarzı yıkıcı işler yapıyor. yani sistemleri silip tahrif etmek onların hoşuna gidiyor. bu sefer de azure’da aynı oyunu oynayıp, service principal’ları ele geçirerek kaynakları silmişler.

olay ne tam olarak?

haziran 2026’nın başında, bir azure ortamında 18 saatlik bir saldırı gerçekleşmiş:

• service principal’lar ele geçirilmiş - yani uygulamaların azure’da yapabilecekleri işleri yapan kimlik doğrulama anahtarları çalınmış
• kaynaklar silinmiş - storage account’lar, VM’ler, database’ler vs. silinmiş
• yıkıcı operasyon - bu sadece veri hırsızlığı değil, “bütün ortamı bok etme” tarzı bir saldırı

microsoft bunu “tradecraft evriminin” bir örneği olarak tanımlamış, yani jadepuffer’ın taktikleri geliştirmiş demek. bundan önceki saldırılarında belki daha primitif yöntemler kullanıyorlardı, ama şimdi service principal’ları hedef almaya başlamışlar.

etkilenen sistemler

yapmanız gerekenler (acil):

1. service principal’larınızı denetleyin

# Azure CLI ile service principal'ları listeleyin
az ad sp list --all --output table

# Her bir service principal'ın izinlerini kontrol edin
az role assignment list --assignee <service-principal-id>

# Son erişim loglarını kontrol edin
az monitor activity-log list --resource-group <rg-name> --query "[].{time:eventTimestamp, caller:caller, operation:operationName}" --output table

2. credential’ları yenileyin (şimdi!)

# Service principal secret'ını yenileyin
az ad sp credential reset --id <service-principal-id>

# Eski credential'ları silin
az ad sp credential delete --id <service-principal-id> --key-id <old-key-id>

3. erişim kontrol listelerini gözden geçirin

# Sahipsiz veya gereksiz service principal'ları silin
az ad sp delete --id <service-principal-id>

# Yüksek izinlere sahip service principal'ları azaltın
# "Owner" rolü vermek yerine spesifik roller verin
az role assignment create --assignee <sp-id> --role "Contributor" --scope /subscriptions/<sub-id>

4. audit logging’i açın

# Azure Activity Log'u kontrol edin
az monitor activity-log list --resource-group <rg-name> --start-time 2026-06-01 --end-time 2026-06-03

# Diagnostic settings'i açın
az monitor diagnostic-settings create --name "SecurityAudit" \
  --resource /subscriptions/<sub-id> \
  --logs '[{"category":"Administrative","enabled":true}]' \
  --storage-account <storage-account-id>

5. conditional access policy’leri ayarlayın

# Anormal lokasyonlardan erişimi engelleyin
# Azure AD > Conditional Access > New Policy
# Location: Block > Select locations
# Applications: All cloud apps
# Grant: Block access

geçici çözümler (hemen yapalım):

service principal’lar için MFA zorunluluğu:

• Azure AD > Security > Conditional Access
• “Require multi-factor authentication” policy’sini service principal’lara da uygulayın

IP whitelist’i ayarlayın:

# Yalnızca bilinen IP'lerden erişim sağlayın
az network nsg rule create --resource-group <rg> --nsg-name <nsg> \
  --name "AllowSpecificIP" \
  --priority 100 \
  --source-address-prefixes <your-ip>/32 \
  --access Allow

rotation policy’sini aktifleştirin:

• Azure Key Vault > Secrets > Rotation Policy
• Service principal secret’ları 90 günde bir değiştirecek şekilde ayarlayın

neden bu kadar tehlikeli?

service principal’lar, uygulamaların azure’da yapabilecekleri işleri yapan “robot hesaplar” gibi düşün. eğer bu hesapların parolası veya anahtarı çalınırsa, saldırgan uygulamanın yapabilecekleri her şeyi yapabilir.

bu durumda, saldırganlar:

• kaynakları silmiş
• verileri tahrif etmiş
• ortamı “temizlemiş”

yani backup’larınız yoksa, işiniz bitmiş demek. 🔴

edit: cisa ve microsoft’un uyarısı

cisa (cybersecurity and infrastructure security agency) da bu saldırıları kataloguna eklemiş. microsoft, tüm azure müşterilerine “service principal credential’larını kontrol edin” uyarısı göndermiş. bu ciddi bir şey, arkadaşlar.

spoiler: bundan sonra neler olabilir?

jadepuffer bundan sonra:

• diğer cloud provider’ları hedefleyebilir (aws, gcp)
• service principal’ları daha sofistike şekillerde ele geçirebilir (phishing, supply chain saldırıları)
• diğer saldırgan gruplarıyla teknik paylaşabilir

yani bu saldırı trendinin başı demek.

son söz

arkadaşlar, şunu bi yapın:

1. hemen azure ortamınızı denetleyin
2. yedek alın (eğer almadıysanız)
3. service principal’ları minimize edin (least privilege ilkesi)
4. logging’i açın (ne olup bittiğini görmek için)
5. rotation policy’leri ayarlayın (otomatik credential değişimi)

bu saldırı aktif olarak devam ediyor. gecikmeyin, sonra ağlamayın.

edit: microsoft’un resmi advisory’sini okumayı unutmayın. detaylı teknik bilgiler orada var.

Kaynaklar

• The Hacker News - JADEPUFFER Azure Saldırısı
• Microsoft Security Blog - Storm-3168 Threat Analysis
• CISA - Threat Alert
• Azure Security Best Practices

Bu içerik yapay zeka tarafından oluşturulmuştur.