كشف باحثو أمن سيبراني عن تعرض أكثر من اثنتي عشرة مؤسسة لهجوم تسلل استهدف بيئات الحوسبة السحابية الخاصة بها، وذلك باستخدام بيانات اعتماد إدارة الهوية والوصول (IAM) مسربة لحساب AWS مرتبط بمنصة تحليل البيانات الكبيرة Qubole.
أتاح استغلال بيانات الاعتماد للمهاجمين انتحال أدوار IAM التي سبق للمؤسسات إعدادها لمنصة Qubole أثناء مرحلة التهيئة والتكامل، مما منحهم صلاحيات للوصول المباشر إلى البنية التحتية السحابية لـ AWS وسحب البيانات خلال حملة نشطة امتدت بين 14 و26 أكتوبر.
وأشارت شركتا الأمن السيبراني Sentra وWiz، اللتان تحليلتا الهجوم، إلى أن الأدوار السحابية ظلت مفعلة ودون استخدام لفترات طويلة بعد توقف تلك الشركات عن الاعتماد على خدمات Qubole، مما خلق ثغرة غير مرئية استغلها المهاجمون لتعداد الموارد وجمع البيانات السرية.
آلية الهجوم واستخراج البيانات
أوضحت التحقيقات أن النشاط الخبيث انطلق من خوادم مستأجرة لدى OVH وشبكة افتراضية خاصة عبر Mullvad، دون رصد أي اختراق شبكي مباشر لأنظمة Qubole نفسها. واعتمد المهاجمون على تنسيق تسمية موحد لجلسات الأدوار يبدأ بالبادئة quiam- مثل quiam-enum وquiam-scope-full.
خلال عملياتهم، قام المهاجمون بجمع الأسرار وتكوينات البيئات من مواقع تخزين AWS المعتادة، مستخدمين أداة TruffleHog للتحقق من صحة بيانات الاعتماد قبل الشروع في استخراج محتويات كاملة من حاويات التخزين S3، في نهج وصف بأنه انتهازي يعتمد على استغلال أي صلاحيات متاحة عبر الأدوار المهملة.
ما الذي يعنيه هذا التطور عملياً؟
يسلط هذا الحادث الضوء على مخاطر إدارة الصلاحيات المنسية في بيئات الحوسبة السحابية وساس (SaaS)، حيث تترك الشركات أدوار التكامل Cross-Account مفتوحة طويلاً دون إلغاء بعد التوقف عن استخدام الخدمات المرتبطة بها. كما يظهر الهجوم كيف يمكن للمهاجمين تحويل صلاحيات سابقة إلى نقاط دخول واسعة النطاق لجمع المفاتيح وحزم البيانات البيئية دون الحاجة إلى اختراق مزود الخدمة الأصلي مباشرة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.