Des chercheurs en cybersécurité ont révélé qu'plus d'une douzaine d'organisations ont subi une attaque d'intrusion ciblant leurs environnements informatiques dans le cloud, en utilisant des identifiants de gestion des identités et des accès (IAM) divulgués pour un compte AWS associé à la plateforme d'analyse de Big Data Qubole.
L'exploitation de ces identifiants a permis aux attaquants d'usurper des rôles IAM que les organisations avaient précédemment configurés pour la plateforme Qubole lors de la phase de configuration et d'intégration, leur accordant des privilèges d'accès direct à l'infrastructure cloud AWS et d'exfiltration de données lors d'une campagne active menée entre le 14 et le 26 octobre.
Les sociétés de cybersécurité Sentra et Wiz, qui ont analysé l'attaque, ont indiqué que les rôles cloud sont restés actifs et inutilisés pendant de longues périodes après que ces entreprises ont cessé de recourir aux services de Qubole, créant ainsi une faille invisible que les attaquants ont exploitée pour inventorier les ressources et collecter des données confidentielles.
Mécanisme de l'attaque et exfiltration des données
Les investigations ont montré que l'activité malveillante est partie de serveurs loués chez OVH et d'un réseau virtuel privé via Mullvad, sans qu'aucune intrusion réseau directe ne soit détectée sur les systèmes de Qubole eux-mêmes. Les attaquants se sont appuyés sur une convention de nommage uniforme pour les sessions de rôles commençant par le préfixe quiam- tel que quiam-enum et quiam-scope-full.
Au cours de leurs opérations, les attaquants ont collecté des secrets et des configurations d'environnement à partir des emplacements de stockage AWS habituels, en utilisant l'outil TruffleHog pour valider les identifiants avant de procéder à l'extraction du contenu complet des conteneurs de stockage S3, selon une approche qualifiée d'opportuniste qui repose sur l'exploitation de tous les privilèges disponibles via des rôles abandonnés.
Que signifie concrètement cette évolution ?
Cet incident met en lumière les risques liés à la gestion des privilèges oubliés dans les environnements de cloud computing et de SaaS, où les entreprises laissent des rôles d'intégration inter-comptes ouverts pendant de longues périodes sans les révoquer après avoir cessé d'utiliser les services associés. L'attaque montre également comment les attaquants peuvent transformer d'anciens privilèges en points d'entrée à grande échelle pour collecter des clés et des ensembles de données environnementales sans avoir à compromettre directement le fournisseur de services d'origine.