Cybersicherheitsforscher haben aufgedeckt, dass mehr als ein Dutzend Organisationen Ziel eines Einbruchsangriffs auf ihre Cloud-Computing-Umgebungen wurden. Dabei wurden kompromittierte Zugangsdaten für das Identitäts- und Zugriffsmanagement (IAM) eines AWS-Kontos verwendet, das mit der Big-Data-Analyseplattform Qubole verknüpft war.
Die Ausnutzung der Zugangsdaten ermöglichte es den Angreifern, IAM-Rollen anzunehmen, die Organisationen zuvor während der Einrichtungs- und Integrationsphase für Qubole konfiguriert hatten. Dies verschaffte ihnen Berechtigungen für den direkten Zugriff auf die AWS-Cloud-Infrastruktur und das Abziehen von Daten während einer aktiven Kampagne, die sich vom 14. bis zum 26. Oktober erstreckte.
Die Cybersicherheitsunternehmen Sentra und Wiz, die den Angriff analysierten, wiesen darauf hin, dass die Cloud-Rollen lange nach der Einstellung der Nutzung von Qubole-Diensten durch diese Unternehmen aktiv und ungenutzt geblieben waren. Dies schuf eine unsichtbare Schwachstelle, die von den Angreifern ausgenutzt wurde, um Ressourcen zu erfassen und vertrauliche Daten zu sammeln.
Angriffsmechanismus und Datenexfiltration
Untersuchungen ergaben, dass die bösartige Aktivität von bei OVH gemieteten Servern und über ein Virtual Private Network von Mullvad ausging, ohne dass ein direkter Netzwerkeinbruch in die Qubole-Systeme selbst festgestellt wurde. Die Angreifer stützten sich auf ein einheitliches Benennungsschema für Rollensitzungen, das mit dem Präfix quiam- beginnt, wie quiam-enum und quiam-scope-full.
Während ihrer Operationen sammelten die Angreifer Geheimnisse und Umgebungskonfigurationen von üblichen AWS-Speicherorten und nutzten das Tool TruffleHog, um die Gültigkeit der Zugangsdaten zu überprüfen, bevor sie mit der Extraktion vollständiger Inhalte aus S3-Buckets begannen – ein Ansatz, der als opportunistisch beschrieben wurde und auf der Ausnutzung aller verfügbaren Berechtigungen über verwaiste Rollen beruht.
Was bedeutet diese Entwicklung in der Praxis?
Dieser Vorfall verdeutlicht die Risiken des Vergessens der Berechtigungsverwaltung in Cloud-Computing- und SaaS-Umgebungen, in denen Unternehmen bereichsübergreifende Integrationsrollen (Cross-Account) lange nach der Beendigung der Nutzung der damit verbundenen Dienste offen lassen. Der Angriff zeigt auch, wie Angreifer frühere Berechtigungen in groß angelegte Einstiegspunkte umwandeln können, um Schlüssel und Umgebungspakete zu sammeln, ohne den ursprünglichen Dienstanbieter direkt hacken zu müssen.