Storm-3068: از reset رمز تا دستکاری pipeline و سرقت kubeconfig

هویت و CI/CD گاهی کوتاه‌ترین راه به «کلیدهای پادشاهی» ابری‌اند. ۲۹ سپتامبر ۲۰۲۶ مایکروسافت در سری Cyberattack DART مطالعهٔ موردی Storm-3068 را منتشر کرد: مهاجم از self-service password reset یک کاربر را گرفت، روش‌های احراز هویت خودش را برای persistence ثبت کرد، بعد با ابزارها و اسکریپت‌های admin مشروع سراغ Azure DevOps رفت — شمارش repo و project و pipeline و environment، بدون اینکه اول malware کلاسیک بکارد.

pipeline مورد اعتماد، نه باینری غریبه

مسیر اصلی سوءاستفاده تغییر pipelineهای مورد اعتماد بود تا Kubernetes credential در مقیاس جمع شود: استقرار یک kube agent، جمع‌آوری فایل‌های kubeconfig (طبق گزارش، ۷ kubeconfig دزدیده‌شده به یک repo اضافه شد)، نصب Atera RMM و Chisel برای تانل به‌سمت Kubernetes API. همان pipeline به بیش از ۵۰ resource دسترسی مجاز داشت — یعنی blast radius از روز اول داخل طراحی اعتماد نشسته بود.

برای تیم پلتفرم، زاویه روشن است: هویت + CI/CD مسیر رسیدن به kubeconfig و زیرساخت ابری است. توصیه‌های DART عملی‌اند: مانیتور کردن password reset؛ MFA مقاوم به فیشینگ برای حساب‌های privileged؛ branch protection و approval؛ محدود کردن کسانی که pipeline می‌سازند/عوض می‌کنند/اجرا می‌کنند؛ و least privilege در لایهٔ identity، DevOps و cloud. اگر فقط روی malware-first detection تکیه کنید، این داستان را دیر می‌بینید.