Исследователи в области кибербезопасности сообщили, что более десятка организаций подверглись атаке проникновения, которая затронула их среды облачных вычислений. Атака была осуществлена с использованием утечки учетных данных управления доступом и идентификацией (IAM) для учетной записи AWS, связанной с платформой анализа больших данных Qubole.
Использование скомпрометированных учетных данных позволило злоумышленникам выдать себя за роли IAM, которые организации ранее настроили для платформы Qubole на этапе настройки и интеграции. Это предоставило им привилегии для прямого доступа к облачной инфраструктуре AWS и извлечения данных в ходе активной кампании, длившейся с 14 по 26 октября.
Компании по кибербезопасности Sentra и Wiz, проанализировавшие атаку, отметили, что облачные роли оставались активными и неиспользуемыми в течение длительного времени после того, как эти компании прекратили пользоваться услугами Qubole. Это создало невидимую уязвимость, которую злоумышленники использовали для перечисления ресурсов и сбора конфиденциальных данных.
Механизм атаки и извлечение данных
Расследование показало, что вредоносная активность исходила с серверов, арендованных у OVH, и через виртуальную частную сеть Mullvad, причем прямого сетевого взлома самих систем Qubole обнаружено не было. Злоумышленники полагались на единое соглашение об именовании сеансов ролей, начинающееся с префикса quiam-, такого как quiam-enum и quiam-scope-full.
В ходе своих операций злоумышленники собирали секреты и конфигурации сред из стандартных хранилищ AWS, используя инструмент TruffleHog для проверки подлинности учетных данных перед тем, как приступить к извлечению полного содержимого бакетов S3. Такой подход был охарактеризован как оппортунистический, основанный на использовании любых доступных привилегий через заброшенные роли.
Что это означает на практике?
Этот инцидент подчеркивает риски управления забытыми привилегиями в средах облачных вычислений и SaaS, где компании оставляют роли межаккаунтной интеграции (Cross-Account) открытыми на долгое время без их отзыва после прекращения использования связанных с ними сервисов. Атака также показывает, как злоумышленники могут превратить прежние полномочия в точки входа широкого масштаба для сбора ключей и пакетов данных окружения без необходимости напрямую взламывать первоначального поставщика услуг.