网络安全研究人员披露，超过十几家组织遭遇了入侵攻击，其云计算环境遭到渗透。攻击中使用了与大数据分析平台 Qubole 相关的 AWS 账户的泄露身份和访问管理 (IAM) 凭据。
利用这些凭据，攻击者得以假冒组织在配置和集成阶段为 Qubole 设置的 IAM 角色，从而获得直接访问 AWS 云基础设施的权限，并在 10 月 14 日至 26 日期间展开的活跃攻击中窃取数据。
分析此次攻击的网络安全公司 Sentra 和 Wiz 指出，在这些公司停止使用 Qubole 服务后，这些云角色在很长一段时间内保持激活状态却未被使用，从而造成了一个隐蔽的漏洞，被攻击者利用来进行资源枚举并收集机密数据。
攻击机制与数据窃取
调查显示，恶意活动源自 OVH 租用服务器以及通过 Mullvad 使用的虚拟专用网络，未监测到 Qubole 系统本身遭到直接的网络入侵。攻击者对角色会话采用了统一的命名格式，以 quiam- 开头，例如 quiam-enum 和 quiam-scope-full。
在行动期间，攻击者从常规的 AWS 存储位置收集机密和环境配置，并使用 TruffleHog 工具在开始提取 S3 存储桶的全部内容之前验证凭据的有效性。这种方法被形容为一种机会主义方式，依赖于利用废弃角色所提供的任何可用权限。
这一发展在实际中意味着什么？
这一事件凸显了云计算和 SaaS 环境中被遗忘的权限管理的风险，即企业在停止使用相关服务后，往往长期保留跨账户集成角色而不予撤销。攻击者如何将过去的权限转化为广泛的入口点，在无需直接入侵原始服务提供商的情况下收集密钥和环境数据包，此次攻击也展露无遗。