사이버 보안 연구원들은 Qubole 대규모 데이터 분석 플랫폼과 연동된 AWS 계정의 유출된 IAM(ID 및 접근 관리) 자격 증명을 사용하여 클라우드 컴퓨팅 환경이 침해당한 12개 이상의 조직을 발견했습니다.
자격 증명 악용으로 인해 공격자들은 설정 및 통합 단계에서 조직이 Qubole용으로 이전에 설정한 IAM 역할을 가장할 수 있게 되었으며, 이를 통해 AWS 클라우드 인프라에 직접 접근하고 10월 14일부터 26일까지 이어진 활성 캠페인 동안 데이터를 빼낼 수 있는 권한을 얻었습니다.
이번 공격을 분석한 사이버 보안 기업 Sentra와 Wiz는 해당 기업들이 Qubole 서비스 사용을 중단한 후에도 클라우드 역할이 오랜 기간 동안 활성화된 상태로 사용되지 않고 방치되어, 공격자들이 리소스를 열거하고 기밀 데이터를 수집하는 데 악용할 수 있는 보이지 않는 취약점을 만들었다고 지적했습니다.
공격 메커니즘 및 데이터 유출
조사 결과에 따르면, 악성 활동은 Qubole 시스템 자체에 대한 직접적인 네트워크 침해 흔적 없이 OVH에서 임대란 서버와 Mullvad를 통한 가상 사설망(VPN)에서 시작되었습니다. 공격자들은 quiam-enum 및 quiam-scope-full과 같은 quiam- 접두사로 시작하는 역할 세션에 대한 표준화된 명명 규칙을 사용했습니다.
작업 중에 공격자는 일반적인 AWS 스토리지 위치에서 비밀과 환경 구성을 수집했으며, S3 스토리지 컨테이너의 전체 내용을 추출하기 전에 TruffleHog 도구를 사용하여 자격 증명의 유효성을 검사했습니다. 이는 방치된 역할을 통해 사용 가능한 모든 권한을 악용하는 기회주의적인 방식으로 설명되었습니다.
이러한 발전은 실제로 무엇을 의미할까요?
이번 사건은 기업들이 관련 서비스 사용을 중단한 후에도 크로스 계정(Cross-Account) 통합 역할을 취소하지 않고 장기간 방치하는 클라우드 및 SaaS(서비스형 소프트웨어) 환경에서 잊혀진 권한 관리의 위험성을 조명합니다. 또한, 공격자들이 원래 서비스 제공업체를 직접 침해하지 않고도 이전 권한을 키사와 환경 데이터 패키지를 수집할 수 있는 광범위한 진입로로 전환할 수 있는 방법을 보여줍니다.