نفوذ به حساب‌های AWS مشتریان Qubole با سوءاستفاده از دسترسی‌های معتبر

Hackers Exploit Qubole's Trusted AWS Access to Breach Customer Accounts and Steal Data

محققان امنیتی Wiz گزارش داده‌اند که مهاجمان با استفاده از اعتبارنامه‌های پلتفرم Qubole، به حساب‌های AWS مشتریان این شرکت نفوذ کرده و اقدام به سرقت داده‌ها و اسرار ذخیره‌شده کرده‌اند. این حملات که بین ۱۴ تا ۲۶ اکتبر رخ داده، از طریق سوءاستفاده از نقش‌های IAM که برای دسترسی Qubole تعریف شده بودند، انجام شده است.

جزئیات فنی و نحوه نفوذ

مهاجمان با استفاده از اعتبارنامه‌های حساب AWS متعلق به Qubole (با شناسه 805246085872) و با ارائه External ID صحیح، موفق به اجرای دستور AssumeRole شدند. اگرچه External ID به عنوان یک لایه امنیتی در نظر گرفته می‌شود، اما طبق مستندات AWS، این کد یک راز محسوب نمی‌شود و مهاجمان با دسترسی به نقش مربوطه قادر به مشاهده آن هستند.

پس از نفوذ، مهاجمان به دنبال متغیرهای محیطی Lambda، اسرار در Secrets Manager و مقادیر در SSM Parameter Store گشتند. آن‌ها با استفاده از ابزار TruffleHog، اعتبارنامه‌های سرقت شده شامل کلیدهای دسترسی AWS، Entra ID و Okta را تست کردند. همچنین، مهاجمان اقدام به دانلود محتویات کامل باکت‌های S3 کردند.

نشانه‌های آلودگی و بررسی لاگ‌ها

تیم‌های امنیتی باید لاگ‌های CloudTrail را از اول اکتبر بررسی کنند. نشانه‌های مشکوک شامل درخواست‌های AssumeRole از حساب 805246085872 است که از آدرس‌های IP غیر AWS (مانند آدرس‌های OVH یا VPNهای Mullvad) ارسال شده‌اند. همچنین استفاده از IAM principal ID با شناسه AIDA3W7DIFLYOLTK63SFS یا AIDAJYRRH5Y3A7AAJM2HW (در صورت مبدأ غیر AWS) و سشن‌هایی با پیشوند quiam- از دیگر موارد مشکوک هستند.

نکته‌های کلیدی

• نفوذ به حساب‌های مشتریان Qubole بین ۱۴ تا ۲۶ اکتبر انجام شده است.
• مهاجمان از طریق سوءاستفاده از نقش‌های IAM و External ID به محیط‌های ابری دسترسی یافتند.
• سرقت اسرار از Secrets Manager، SSM و متغیرهای محیطی Lambda گزارش شده است.
• داده‌های باکت‌های S3 به صورت گسترده دانلود شده‌اند.
• حملات مشابهی نیز بین ۸ تا ۱۱ اکتبر با استفاده از کلیدهای دسترسی مستقیم مشتریان رخ داده است.

چه باید کرد

• تمام اسرار، پارامترها و متغیرهای محیطی Lambda که نقش‌های Qubole به آن‌ها دسترسی داشتند را چرخش (Rotate) دهید.
• سشن‌های فعال نقش‌های مربوط به Qubole را ابطال کنید.
• نقش‌های غیرضروری Qubole را حذف کرده یا دسترسی حساب Qubole را از سیاست اعتماد (Trust Policy) آن‌ها بردارید.
• از شرط aws:SourceIp یا aws:SourceVpce در سیاست‌های IAM برای محدود کردن دسترسی به محدوده‌های شبکه مجاز استفاده کنید.
• لاگ‌های S3 Data Events را برای شناسایی دقیق اشیاء خوانده شده توسط مهاجم فعال کنید.
• External ID را تغییر داده و برای هر نقش از مقدار منحصر به فرد استفاده کنید.