Pesquisadores de segurança cibernética revelaram que mais de uma dezena de organizações sofreram um ataque de intrusão que teve como alvo seus ambientes de computação em nuvem, utilizando credenciais vazadas de Gestão de Identidad e Acesso (IAM) para uma conta da AWS associada à plataforma de análise de grandes volumes de dados Qubole.
A exploração das credenciais permitiu que os atacantes personificassem funções de IAM que as organizações haviam configurado anteriormente para a plataforma Qubole durante a fase de configuração e integração, concedendo-lhes privilégios de acesso direto à infraestrutura de nuvem da AWS e exfiltração de dados durante uma campanha ativa que durou entre 14 e 26 de outubro.
As empresas de segurança cibernética Sentra eWiz, que analisaram o ataque, apontaram que as funções de nuvem permaneceram ativadas e sem uso por longos períodos após essas empresas cessarem a utilização dos serviços da Qubole, criando uma brecha invisível que os atacantes exploraram para enumerar recursos e coletar dados confidenciais.
Mecanismo de ataque e extração de dados
As investigações esclareceram que a atividade maliciosa partiu de servidores alugados na OVH e de uma rede virtual privada através da Mullvad, sem que fosse detectada qualquer invasão direta de rede nos sistemas da Qubole. Os atacantes basearam-se em um formato de nomenclatura unificado para as sessões de funções que começa com o prefixo quiam-, como quiam-enum e quiam-scope-full.
Durante suas operações, os atacantes coletaram segredos e configurações de ambiente de locais usuais de armazenamento da AWS, utilizando a ferramenta TruffleHog para validar as credenciais antes de prosseguir com a extração de conteúdos completos de buckets S3, em uma abordagem descrita como oportunista que depende da exploração de quaisquer privilégios disponíveis por meio de funções negligenciadas.
O que esse desenvolvimento significa na prática?
Este incidente destaca os riscos da gestão de permissões esquecidas em ambientes de computação em nuvem e SaaS, onde as empresas deixam funções de integração Cross-Account abertas por muito tempo sem cancelá-las após deixarem de usar os serviços associados. O ataque também demonstra como os atacantes podem transformar privilégios anteriores em pontos de entrada de ampla escala para coletar chaves e pacotes de dados ambientais sem a necessidade de invadir diretamente o provedor de serviços original.