Een gecompromitteerd account kan de poort openen naar de volledige cloudinfrastructuur van een organisatie, waardoor systemen voor softwareontwikkeling en cloudoperaties, bekend als ontwikkelingssystemen, aantrekkelijke doelwitten worden voor aanvallers. Microsoft-analisten identificeerden een aanvaller, Storm-3068 genaamd, die met succes één gecompromitteerde identiteit gebruikte om toegang te verkrijgen tot Azure DevOps, ontwikkelingspipelines en Kubernetes-resources.

De aanvaller verkreeg in eerste instantie controle over een account via een selfservice-wachtwoordherstel. Door vervolgens eigen authenticatiemethoden te registreren, verzekerde Storm-3068 zich van persistente toegang. Opvallend is dat de aanval geen gebruik maakte van kwetsbaarheden in software of speciaal ontwikkelde malware, maar in plaats daarvan vertrouwde diensten en legitieme cloudfuncties misbruikte.

Na het verkrijgen van de controle over het account, voerde Storm-3068 een grondige verkenning uit met behulp van legitieme administratieve tools en geautomatiseerde scripts. Hierbij werden Azure DevOps-projecten, repositories, pipelines en implementatieomgevingen onderzocht. De impact van de ene gecompromitteerde identiteit werd vergroot door de onderlinge verbindingen met repositories, automatiseringspipelines en cloudresources.

Na een analyse van de verbonden systemen en potentiële locaties van waardevolle referenties, zette de aanvaller een geautoriseerde pipeline in. Deze pipeline kon meer dan 50 resources benaderen en zich bij services authenticeren. Vervolgens creëerde Storm-3068 een kwaadaardige pipeline specifiek gericht op het inzamelen van Kubernetes-referenties op grote schaal.

Er werd een kube-agent ingezet om configuratiebestanden van clusters te verzamelen, die essentiële verbindingsdetails en authenticatie-informatie bevatten voor toegang tot Kubernetes-resources. Zeven van deze gestolen clusterconfiguratiebestanden werden toegevoegd aan een repository, waardoor de aanvaller beschikte over referenties voor toegang tot doelgerichte Kubernetes-clusters.

De aanvaller wijzigde verder pipeline-scripts om de Atera remote management agent te installeren en de Chisel tunneling utility te downloaden. Deze aanpassingen waren bedoeld om alternatieve paden voor externe toegang te creëren en de Kubernetes API-server bloot te stellen voor mogelijke interactie met de clusters. Met behulp van Chisel-opdrachten werd een reverse tunnel naar een extern IP-adres opgezet.

Azure DevOps auditlogs en de Git versiegeschiedenis speelden een cruciale rol bij het reconstrueren van de intrusie en het identificeren van de gestolen referenties. Het antwoordteam van Microsoft analyseerde gegevens uit identiteitssystemen, ontwikkelplatforms en de cloudinfrastructuur om de volledige omvang van de aanval vast te stellen.

Organisaties wordt aangeraden om activiteiten rond wachtwoordherstel te monitoren op herhaalde pogingen of patronen die op meerdere gebruikers wijzen. Het verminderen van de blootstelling van accounts met hoge privileges aan selfservice-herstelworkflows en het vereisen van phishing-bestendige multifactorauthenticatie worden eveneens sterk aanbevolen. Ontwikkelteams dienen goedkeuringen voor codewijzigingen te eisen, branchbescherming af te dwingen en directe commits naar kritieke branches te beperken.

Daarnaast is het van belang dat pipeline-machtigingen beperken wie build- en implementatieworkflows kan creëren, wijzigen of uitvoeren. Een strikte toepassing van het least-privilege principe voor identiteiten, ontwikkelplatforms en cloudresources is essentieel. Regelmatige beoordelingen van de controles op identiteit, DevOps en cloud kunnen het risico aanzienlijk verminderen dat een gecompromitteerd account een toegangspad wordt naar productieomgevingen.