Investigadores de ciberseguridad revelaron que más de una docena de organizaciones sufrieron un ataque de intrusión dirigido a sus entornos de computación en la nube, utilizando credenciales filtradas de Gestión de Identidad y Acceso (IAM) de una cuenta de AWS asociada con la plataforma de análisis de macrodatos Qubole.
La explotación de las credenciales permitió a los atacantes suplantar roles de IAM que las organizaciones habían configurado previamente para Qubole durante la fase de configuración e integración, otorgándoles privilegios para acceder directamente a la infraestructura en la nube de AWS y extraer datos durante una campaña activa que se extendió entre el 14 y el 26 de octubre.
Las empresas de ciberseguridad Sentra y Wiz, que analizaron el ataque, señalaron que los roles en la nube permanecieron activos y sin uso durante largos periodos después de que dichas empresas dejaron de depender de los servicios de Qubole, lo que creó una brecha invisible que los atacantes aprovecharon para enumerar recursos y recopilar datos confidenciales.
Mecanismo del ataque y extracción de datos
Las investigaciones aclararon que la actividad maliciosa se originó desde servidores alquilados a OVH y una red privada virtual a través de Mullvad, sin que se registrara ninguna brecha de red directa en los sistemas de Qubole. Los atacantes dependieron de un formato de nomenclatura unificado para las sesiones de roles que comenzaba con el prefijo quiam-, como quiam-enum y quiam-scope-full.
Durante sus operaciones, los atacantes recopilaron secretos y configuraciones de entornos de las ubicaciones de almacenamiento habituales de AWS, utilizando la herramienta TruffleHog para verificar la validez de las credenciales antes de proceder con la extracción del contenido completo de los contenedores de almacenamiento S3, en un enfoque descrito como oportunista que depende de la explotación de cualquier permiso disponible a través de roles abandonados.
¿Qué significa este desarrollo en la práctica?
Este incidente resalta los riesgos de la gestión de permisos olvidados en entornos de computación en la nube y de software como servicio (SaaS), donde las empresas dejan roles de integración entre cuentas abiertos durante mucho tiempo sin cancelarlos después de dejar de usar los servicios asociados. Asimismo, el ataque demuestra cómo los atacantes pueden transformar privilegios anteriores en puntos de entrada a gran escala para recopilar claves y paquetes de datos ambientales sin necesidad de vulnerar directamente al proveedor de servicios original.