JADEPUFFER 연계 공격자, 탈취한 서비스 프린시펄로 Azure 리소스 삭제

JADEPUFFER로 알려진 위협 행위자가 탈취한 서비스 프린시펄(service principal)을 이용해 마이크로소프트 Azure 환경 내에서 파괴적 행위를 조직적으로 수행한 것이 관찰됐습니다.

마이크로소프트는 이 활동을 Storm-3168이라는 이름으로 추적하고 있으며, 이를 해당 위협 행위자의 수법이 진화한 것이라고 밝혔습니다. 이 공격은 2026년 6월 초 약 18시간에 걸쳐 발생했습니다.

"이 파괴적 작업은 서비스 프린시펄을 탈취해 이루어졌으며, Azure Storage Accounts, SQL 데이터베이스, Key Vaults, Function Apps, 복구 보호 잠금(recovery protection lock), 가상머신(Virtual Machine), App Services를 표적으로 삼았다"고 연구원 Yossi Weizman과 Tushar Mudi, 그리고 마이크로소프트 보안 연구팀은 밝혔습니다.

JADEPUFFER는 Sysdig가 처음 문서화한 조직으로, 대형언어모델(LLM)의 도움을 받아 처음부터 끝까지 수행된 최초의 랜섬웨어 공격 사례라고 설명한 바 있습니다. 이 에이전트 기반 공격은 Langflow의 알려진 보안 결함(CVE-2025-3248)을 악용해 침투한 뒤, 자격증명을 수집하고 네트워크 깊숙이 침투했으며, Nacos 서비스 설정 파일을 암호화하고 원본 데이터베이스 테이블을 삭제한 뒤 비트코인 지불을 요구하는 랜섬노트를 남겼습니다.

이 공격은 MySQL의 내장 함수인 AES_ENCRYPT()를 이용해 암호화 단계를 수행한 것으로 확인됐는데, 이후 동일한 Langflow 인스턴스가 ENCFORGE라는 코드명의 Go 언어 기반 컴파일형 랜섬웨어 변종을 이용해 다시 표적이 됐습니다.

ENCFORGE는 인공지능(AI) 인프라를 표적으로 특별히 제작된 것으로, 모델 체크포인트, 벡터 데이터베이스, 학습 데이터셋, 임베딩 인덱스에 이르는 약 180개의 파일 확장자를 스캔하며, 여기에 더해 macOS 관련 파일인 Keychain 저장소, Xcode 프로젝트 파일, Apple Pages와 Numbers 문서까지 노립니다.

"자율 에이전트는 표적에 대해 스스로 추론하고, 자격증명을 수집·재사용했으며, 측면 이동을 하고, 지속성을 확보한 뒤 데이터베이스를 파괴했으며, 그 과정 내내 자신의 의도를 스스로 서술했다"고 Sysdig는 당시 밝혔습니다. "개별 기법 자체는 새롭거나 정교한 것이 아니었다. 다만 주목할 점은, 방치된 인터넷 노출 인프라를 상대로 AI 모델이 이러한 기법들을 하나로 엮어 완전한 랜섬웨어 작전을 수행했다는 것이다."

마이크로소프트는 분석에서 동일한 테넌트에 연결된 두 개의 탈취된 서비스 프린시펄을 관찰했다고 밝혔으며, 하나는 정찰과 리소스 탐색에, 다른 하나는 파괴적 작업과 자격증명 수집에 사용됐다고 설명했습니다.

이 열거(enumeration) 활동은 Azure 가상머신, 구독, 리소스 그룹, 리소스를 대상으로 약 16시간 동안 진행됐으며, 이 기간 동안 300건이 넘는 읽기 작업이 수행됐습니다. 두 번째로 탈취된 서비스 프린시펄 역시 90분 후 자체적으로 일부 탐색 작업을 벌여, 5초 만에 두 개 구독에 걸쳐 가상머신과 리소스 그룹을 열거했습니다.

16시간이 지난 뒤, 두 번째 서비스 프린시펄은 노출된 자격증명을 찾으려는 시도로 보이는 Azure App Service 구성 저장소 열거에도 성공했습니다. 그 직후 이 서비스 프린시펄은 35분 동안 150건이 넘는 파괴 또는 자격증명 수집 관련 작업을 수행한 것으로 알려졌습니다.

전체적으로 이 파괴적 작업 시퀀스는 약 7분간 지속됐으며, 100건이 넘는 스토리지 계정 삭제 시도가 있었습니다. 또한 Azure Key Vault, Function App, App Service 플랜과 다수의 Azure SQL 데이터베이스도 표적이 됐습니다. 다만 각 데이터베이스 삭제 시도는 해당 Azure SQL 데이터베이스 리소스 유형에 지원되지 않는 API 버전을 사용했기 때문에 모두 실패로 끝났습니다.

"위협 행위자가 표적으로 삼은 대부분의 Azure Storage 계정은 실제로 삭제됐다"고 마이크로소프트는 밝혔습니다. "그러나 Azure 리소스 잠금(resource lock)과 스토리지 계정 수준의 삭제 방지 기능이 일부 스토리지 계정에 대한 삭제 시도를 막아냈으며, 이는 탈취된 계정이 폭넓은 관리자 권한을 가지고 있더라도 독립적인 안전장치가 여전히 효과를 발휘한다는 점을 보여준다."

해당 서비스 프린시펄이 어떻게 탈취됐는지는 명확하지 않으나, 마이크로소프트는 피해 조직 직원이 공개 GitHub 이슈에 클라이언트 ID, 클라이언트 시크릿, 테넌트 ID를 평문으로 올렸던 사실을 확인했다고 밝혔습니다. 해당 시크릿은 이후 삭제됐지만, 편집 이력을 통해 여전히 접근이 가능한 상태였습니다.

마이크로소프트는 또한 Storm-3168과 연계된 인프라가 여러 고객사의 Azure App 서비스를 대상으로 반복적으로 탐색 활동을 벌이는 것을 탐지했다고 밝히며, 여러 서비스 프린시펄을 이용한 작업 분담과 각 작업 간의 시간 간격을 볼 때 이 공격은 자동화됐거나 스크립트화됐을 가능성이 높다고 덧붙였습니다.

이번 공격의 최종 목적은 랜섬웨어와 연관된 것으로 평가되는데, 다수의 Azure 리소스뿐 아니라 백업 및 복구 관련 리소스까지 삭제된 점으로 볼 때 위협 행위자가 피해자의 복구 능력을 저해하려 했던 것으로 보입니다. 다만 이번 침해와 관련해서는 랜섬노트나 성공적인 데이터 유출은 관찰되지 않았습니다.

"이번 활동은 위협 행위자들이 클라우드 환경 전반에 걸쳐 복잡한 침해 후속 작업을 더 빠르고 대규모로 조율할 수 있는, AI 주도 공격으로의 광범위한 전환을 잘 보여준다"고 마이크로소프트는 밝혔습니다. "이러한 능력이 계속 발전함에 따라, 방어자들 역시 대규모 환경 전반을 조사하고 대응하는 데 AI를 유사하게 활용해야 한다."