Зловмисники використали доступ до платформи Qubole для атак на хмарні середовища AWS

Зловмисники отримали несанкціонований доступ до AWS-середовищ десятків компаній, використавши скомпрометовані облікові дані платформи для аналізу великих даних Qubole. Атака, що відбувалася з 14 по 26 жовтня, базувалася на експлуатації довірчих відносин між клієнтськими IAM-ролями та обліковим записом Qubole.

Про це повідомляє BleepingComputer з посиланням на sentra.io

Дослідники компанії Wiz, які проводили розслідування спільно з Sentra та Mandiant, встановили, що хакери використовували API-функцію AWS STS AssumeRole. Це дозволило їм привласнювати ролі в AWS-акаунтах клієнтів, отримуючи тимчасові дозволи на перегляд ресурсів, викрадення секретів із сервісів AWS Secrets Manager та SSM Parameter Store, а також завантаження даних із S3-бакетів.

The sequence was consistent across environments: assume a role, call ListBuckets to see what the role could reach, call ListObjects and HeadObject to enumerate and inspect the contents, then call GetObject to download them.

— компанія Wiz.

Компанія Sentra підтвердила, що масштаби атаки охопили десятки організацій, причому в одного з клієнтів було викрадено мільйони файлів. За даними експертів, зловмисники діяли оперативно, збираючи паролі та ключі зі швидкістю близько 100 одиниць за сім хвилин. Використовуючи інструмент TruffleHog, хакери валідували отримані ключі AWS, а також облікові дані Microsoft Entra ID та Okta.

Наразі Qubole не оприлюднила публічних заяв щодо інциденту. ІТ-адміністраторам радять переглянути логи CloudTrail за період з 1 жовтня, анулювати активні сесії ролей, змінити скомпрометовані облікові дані та обмежити права для невикористовуваних інтеграцій.