%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.08%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EMassive Azure CLI Password%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ESpray Campaign Hits 78%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EMicrosoft Accounts — What…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Más de 81 millones de intentos de autenticación dirigidos contra la interfaz de línea de comandos de Azure han comprometido al menos 78 cuentas de Microsoft. Este no es un ataque sofisticado: es un bombardeo sistemático que explota una debilidad humana y de configuración que muchas organizaciones todavía subestiman.
El problema
De acuerdo con un reporte de The Hacker News, investigadores de seguridad de Huntress detectaron una campaña activa y masiva de "password spraying" (rociado de contraseñas) contra Azure CLI. El ataque, que tuvo lugar entre el 12 y el 26 de junio, se origina desde un rango de direcciones IPv6 (2a0a:d683::/32) controlado por el proveedor de infraestructura LSHIY LLC (AS32167). Hasta el momento de la publicación, se ha confirmado el compromiso de por lo menos 78 cuentas de Microsoft.
Consecuencias
Una cuenta comprometida dentro de un entorno Azure no es un incidente aislado: es el punto de apoyo que un atacante necesita para desplazarse lateralmente a otros sistemas, acceder a datos sensibles o desplegar cargas maliciosas en la nube. Con 81 millones de intentos, la escala del ataque indica un esfuerzo automatizado que puede estar probando credenciales provenientes de filtraciones anteriores. El objetivo final podría ser desde el robo de información hasta el secuestro de recursos de cómputo para minería de criptomonedas.
Causas
La causa raíz es la combinación de dos factores: (1) credenciales débiles, reutilizadas o expuestas previamente, y (2) la ausencia de controles de autenticación robustos en Azure CLI, como la exigencia de autenticación multifactor (MFA) o políticas de bloqueo por intentos fallidos. El password spraying funciona precisamente porque prueba un puñado de contraseñas comunes contra muchas cuentas, evitando activar los bloqueos por cuenta que detectarían ataques de fuerza bruta tradicionales.