Неизвестные злоумышленники использовали скомпрометированные учетные данные для управления идентификацией и доступом (IAM), связанные с учетной записью Qubole в AWS, для доступа к облачным средам клиентов, похищая секреты и другие конфиденциальные данные из бакетов S3.
Qubole — это платформа облачной обработки данных, которая использует междоменные роли IAM для управления вычислениями и доступом к хранилищу в средах AWS клиентов без необходимости предоставления клиентами долгосрочных ключей доступа AWS. Атака на цепочку поставок злоупотребила этим доверительным отношением между сторонними организациями и междоменным доступом.
Подразделение облачной безопасности Google Wiz отказалось сообщить, сколько организаций пострадало, но назвало это «широкомасштабной, оппортунистической кампанией в цепочке поставок», затронувшей «несколько» клиентских сред.
«Поскольку многие организации оставляли политики доверия активными даже после вывода платформы из эксплуатации, злоумышленнику удалось успешно принять роли интеграции, перечислить облачные ресурсы, собрать секреты и извлечь данные», — сообщили исследователи The Register в письменном ответе на вопросы.
Ни AWS, ни Qubole не ответили на запросы The Register.
Wiz, работая с сотрудниками отдела реагирования на инциденты Google Mandiant после того, как компания по безопасности данных ИИ Sentra выявила подозрительную активность, отследила вредоносную деятельность до 14 октября, когда учетные данные, связанные с учетной записью Qubole в AWS, использовались для вызова API sts:AssumeRole для получения временных учетных данных для ролей интеграции, управляемых клиентами.
Вызовы исходили из учетной записи Qubole в AWS 805246085872 и использовали идентификатор пользователя IAM AIDA3W7DIFLYOLTK63SFS, как заявили аналитики Wiz Зак Морроу, Шон Джонстон и Бенджамин Рид в своем блоге в понедельник об атаке на цепочку поставок. «Во всех затронутых средах Wiz CIRT не наблюдал этого пользователя IAM ни в какой другой деятельности, кроме той, которая связана с этим злоумышленником», — написал триумвират.
Эта активность продолжалась 15 октября, а 18 октября цифровые злоумышленники начали использовать второго пользователя IAM из той же учетной записи.
Оказавшись внутри сред клиентов, преступники начали сканировать множество сервисов AWS и красть учетные данные, ключи и другие секреты, хранящиеся в Lambda, Secrets Manager и SSM Parameter Store.
Злоумышленники также использовали TruffleHog для тестирования учетных данных AWS, принадлежащих организациям-жертвам, обнаружения их секретов Microsoft Entra ID и запроса токенов OAuth с использованием учетных данных клиента Okta, также обнаруженных при исследовании сред AWS.
Злоупотребление ролями интеграции также позволило преступникам украсть данные из хранилищ S3 клиентов, хотя, похоже, это были в основном оппортунистические злоумышленники, в некоторых случаях скачивающие целые бакеты, в отличие от спонсируемых государством шпионов, ищущих конкретные данные.
Охотники за угрозами не приписали атаку на цепочку поставок какой-либо конкретной группе и заявили, что у них нет информации о том, как злоумышленники используют украденные данные.
При расследовании этого инцидента Wiz обнаружил отдельную кампанию между 8 и 11 октября, в которой также использовались ключи доступа AWS, принадлежащие клиентам для интеграций Qubole. Хотя «небольшое количество» из них также привело к компрометации сред AWS организаций-жертв, Wiz заявил, что не может однозначно связать эти два набора вредоносной активности.
Организациям, интегрированным с Qubole, следует сменить учетные данные — хотя смена учетных данных не прекращает действие уже выданных временных сессий.
Клиентам также следует просмотреть CloudTrail с 1 октября, ища события AssumeRole, где userIdentity.accountId совпадает с идентификатором учетной записи AWS Qubole, 805246085872, особенно те, которые исходят с IP-адресов, не принадлежащих AWS.
«Для каждой найденной сессии роли проверьте всю последующую активность из этой сессии, особенно Secrets Manager, SSM Parameter Store, Lambda и S3», — написали исследователи. «Если злоумышленник принял роль интеграции, смените все секреты, параметры и переменные среды Lambda, которые могла прочитать роль, и отзовите активные сессии для этой роли».®

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.