Siber güvenlik araştırmacıları, büyük veri analitiği platformu Qubole ile bağlantılı bir AWS hesabına ait sızdırılmış Kimlik ve Erişim Yönetimi (IAM) kimlik bilgilerini kullanan ondan fazla kuruluşun bulut bilişim ortamlarının bir sızma saldırısına uğradığını ortaya çıkardı.
Kimlik bilgilerinin kötüye kullanılması, saldırganların kuruluşların kurulum ve entegrasyon aşamasında Qubole için önceden hazırladığı IAM rollerini taklit etmesine olanak tanıdı; bu durum, 14-26 Ekim tarihleri arasında aktif olarak yürütülen kampanya sırasında doğrudan AWS bulut altyapısına erişim ve veri çekme yetkisi sağladı.
Saldırıyı analiz eden Sentra ve Wiz adlı siber güvenlik şirketleri, bu bulut rollerinin, ilgili şirketlerin Qubole hizmetlerini kullanmayı bırakmasından sonra bile uzun süre aktif ve kullanıl Whilst kalmaya devam ettiğini, bunun da saldırganların kaynakları listelemesi ve gizli verileri toplaması için görünmez bir açık yarattığını belirtti.
Saldırı Mekanizması ve Veri Çıkarma
Yapılan incelemeler, kötü amaçlı faaliyetin Qubole sistemlerinin kendisine doğrudan bir ağ sızması tespit edilmeden, OVH'den kiralanan sunucular ve Mullvad üzerinden bir sanal özel ağ (VPN) aracılığıyla başlatıldığını gösterdi. Saldırganlar, quiam-enum ve quiam-scope-full gibi quiam- önekiyle başlayan standart bir rol oturumu adlandırma formatına dayandı.
Operasyonları sırasında saldırganlar, S3 depolama kapsayıcısının (bucket) içeriğinin tamamını çıkarmaya başlamadan önce kimlik bilgilerinin geçerliliğini doğrulamak için TruffleHog aracını kullanarak, olağan AWS depolama konumlarından sırları ve ortam yapılandırmalarını topladılar. Bu yaklaşım, ihmal edilmiş roller aracılığıyla mevcut tüm yetkileri kötüye kullanmaya dayanan fırsatçı bir yaklaşım olarak tanımlandı.
Bu Gelişme Pratikte Ne Anlama Geliyor?
Bu olay, şirketlerin ilgili hizmetleri kullanmayı bırakmalarının ardından Cross-Account (Hesaplar Arası) entegrasyon rollerini iptal etmeden uzun süre açık bıraktığı bulut ve SaaS (Hizmet Olarak Yazılım) ortamlarında unutulmuş yetki yönetiminin risklerini gözler önüne seriyor. Saldırı ayrıca, saldırganların orijinal hizmet sağlayıcısını doğrudan hacklemeye gerek kalmadan, geçmişteki yetkileri nasıl geniş kapsamlı giriş noktalarına dönüştürerek anahtarları ve çevresel veri paketlerini toplayabileceğini gösteriyor.