サイバーセキュリティ研究者らは、大規模データ分析プラットフォームQuboleに関連するAWSアカウントの漏洩したアイデンティティ・アクセス管理（IAM）資格情報を使用し、12を超える組織がクラウドコンピューティング環境への侵入攻撃を受けたことを明らかにしました。
資格情報の悪用により、攻撃者はセットアップおよび統合フェーズ中に組織がQubole向けに以前設定したIAMロールなりすますことが可能となり、10月14日から26日まで続いたアクティブなキャンペーン中に、AWSクラウドインフラストラクチャへの直接アクセス権とデータ引き出し権限が与えられました。
この攻撃を分析したサイバーセキュリティ企業のSentraとWizは、企業がQuboleサービスの利用を停止した後も、クラウドロールが無効化されないまま長期間放置されていたと指摘し、これが攻撃者がリソースの列挙や機密データの収集に悪用した見えない脆弱性を作り出したと述べました。
攻撃のメカニズムとデータ抽出
調査によると、悪意のある活動はOVHから借り受けたサーバーとMullvad経由の仮想プライベートネットワークから開始され、Quboleのシステム自体への直接的なネットワーク侵害は検出されませんでした。攻撃者は、quiam-enumやquiam-scope-fullなどのquiam-で始まるプレフィックスを持つロールセッションの統一された命名規則に依存していました。
作戦中、攻撃者は通常のAWSストレージの場所からシークレットと環境設定を収集し、S3ストレージコンテナからコンテンツの完全な抽出を開始する前に資格情報の有効性を確認するためにTruffleHogツールを使用しました。これは、放置されたロールを通じて利用可能な権限を悪用することに依存する、日和見的なアプローチとして説明されました。
この進展は実質的に何を意味するのか？
このインシデントは、企業が関連サービスの利用を停止した後もクロスアカウント統合ロールを長期間キャンセルせずに放置する、クラウドコンピューティングおよびSaaS環境における忘れられた権限管理のリスクに光を当てています。また、この攻撃は、攻撃者が元のサービスプロバイダーを直接侵害することなく、過去の権限をキーや環境データパッケージを収集するための広範な侵入ポイントにどのように変換できるかを示しています。