سوءاستفاده مهاجمان از یکپارچه‌سازی‌های قابل اعتماد AWS برای سرقت اطلاعات محرمانه

Attackers backdoor trusted AWS integrations to steal secrets

پژوهشگران امنیتی شرکت Wiz از کشف یک حمله زنجیره تأمین خبر دادند که در آن مهاجمان با سوءاستفاده از اعتبارنامه‌های به سرقت رفته شرکت Qubole و روابط اعتماد متقابل، به محیط‌های ابری مشتریان AWS نفوذ کرده‌اند. این مهاجمان با استفاده از نقش‌های یکپارچه‌سازی رهاشده، توانسته‌اند به داده‌های حساس، کلیدها و سطل‌های S3 دسترسی پیدا کنند.

شرح و جزئیات فنی حمله زنجیره تأمین

مهاجمان ناشناس با بهره‌گیری از اعتبارنامه‌های مدیریت هویت و دسترسی (IAM) مرتبط با حساب AWS شرکت Qubole توانستند به محیط‌های ابری مشتریان دسترسی پیدا کرده و اطلاعات محرمانه و داده‌های حساس را از سطل‌های S3 به سرقت ببرند. پلتفرم پردازش داده ابری Qubole از نقش‌های IAM میان‌حسابی استفاده می‌کند تا بدون نیاز به کلیدهای دسترسی بلندمدت AWS، محاسبات را مدیریت و به ذخیره‌سازی دسترسی داشته باشد. این حمله در واقع سوءاستفاده از همین رابطه اعتماد متقابل شخص ثالث محسوب می‌شود.

شرکت Wiz با همکاری پاسخدهندگان حادثه Mandiant در شرکت گوگل و پس از دریافت گزارش فعالیت مشکوک از سوی شرکت امنیت داده‌های هوش مصنوعی Sentra، این فعالیت‌های مخرب را ردیابی کردند. این فعالیت‌ها از تاریخ 14 اکتبر آغاز شد و مهاجمان با استفاده از اعتبارنامه‌های حساب AWS شرکت Qubole با شماره 805246085872، تابع sts:AssumeRole را برای دریافت اعتبارنامه‌های موقت برای نقش‌های یکپارچه‌سازی مدیریت‌شده توسط مشتری فراخوانی کردند.

تحلیلگران Wiz به نام‌های Zack Morrow، Sean Johnstone و Benjamin Read اعلام کردند که درخواست‌ها از حساب AWS شرکت Qubole و شناسه کاربر IAM به شماره AIDA3W7DIFLYOLTK63SFS نشأت گرفته است. در محیط‌های آسیب‌دیده، هیچ فعالیت دیگری برای این کاربر IAM به جز موارد مرتبط با این بازیگر تهدید مشاهده نشده است. این فعالیت در تاریخ 15 اکتبر نیز ادامه یافت و در 18 اکتبر مهاجمان دیجیتالی استفاده از دومین کاربر IAM از همان حساب را آغاز کردند.

ابزارهای به کار رفته، تأثیرات و گستردگی نفوذ

پس از ورود به محیط‌های مشتریان، مهاجمان به بررسی طیف وسیعی از سرویس‌های AWS پرداختند و شروع به سرقت اعتبارنامه‌ها، کلیدها و سایر اطلاعات محرمانه ذخیره‌شده در Lambda، Secrets Manager و SSM Parameter Store کردند.

علاوه بر این، مجرمان سایبری از ابزار TruffleHog برای آزمایش اعتبارنامه‌های AWS متعلق به سازمان‌های قربانی، کشف رازهای Microsoft Entra ID و درخواست توکن‌های OAuth با استفاده از اعتبارنامه‌های مشتری Okta که در جریان بررسی محیط‌های AWS کشف شده بودند، استفاده نمودند.

سوءاستفاده از نقش‌های یکپارچه‌سازی به مهاجمان اجازه داد تا داده‌ها را از ذخیره‌سازی S3 مشتریان نیز به سرقت ببرند. با این حال، به نظر می‌رسد این مهاجمان رویکردی فرصت‌طلبانه داشته و در برخی موارد به جای جاسوسان دولت‌محور که به دنبال داده‌های خاص هستند، اقدام به دانلود کل سطل‌ها کرده‌اند. بخش تحقیقات هنوز این حمله زنجیره تأمین را به گروه خاصی نسبت نداده و دیدگاهی درباره نحوه استفاده مهاجمان از داده‌های سرقت‌شده ندارد.

شرکت Wiz از اعلام تعداد دقیق سازمان‌های آسیب‌دیده خودداری کرده اما این رویداد را یک کمپین زنجیره تأمین گسترده و فرصت‌طلبانه توصیف کرده که چندین محیط مشتری را هدف قرار داده است. بسیاری از سازمان‌ها سیاست‌های اعتماد خود را حتی پس از کنار گذاشتن پلتفرم فعال نگه داشته بودند که همین امر به مهاجمان امکان داد نقش‌های یکپارچه‌سازی را به عهده بگیرند، منابع ابری را شمارش کنند، اطلاعات محرمانه را جمع‌آوری نمایند و داده‌ها را خارج کنند.

در جریان این تحقیق، Wiz همچنین کمپین جداگانه‌ای را بین 8 اکتبر تا 11 اکتبر شناسایی کرد که در آن از کلیدهای دسترسی AWS متعلق به مشتریان برای یکپارچه‌سازی‌های Qubole استفاده شده بود. اگرچه تعداد کمی از این موارد نیز منجر به نفوذ به محیط‌های AWS سازمان‌های قربانی شد، اما Wiz اعلام کرد که نمی‌تواند به طور قطعی این دو دسته از فعالیت‌های مخرب را به یکدیگر مرتبط بداند. شرکت‌های AWS و Qubole پاسخی به پرسش‌های رسانه‌ها نداده‌اند.

نکته‌های کلیدی

• کشف حمله زنجیره تأمین علیه محیط‌های ابری AWS با سوءاستفاده از اعتبارهای Qubole
• استفاده مهاجمان از حساب AWS شماره 805246085872 و شناسه‌های کاربری IAM مشخص برای احراز هویت
• سرقت کلیدها و اطلاعات محرمانه از سرویس‌های Lambda، Secrets Manager، SSM Parameter Store و سطل‌های S3
• به کارگیری ابزار TruffleHog برای تست اعتبارنامه‌های AWS و کشف رازهای Microsoft Entra ID و توکن‌های Okta
• شناسایی کمپین مجزای دیگر بین 8 تا 11 اکتبر با استفاده مشابه از کلیدهای دسترسی مشتریان Qubole

چه باید کرد

• چرخش و تغییر اعتبارنامه‌های سازمان‌هایی که با Qubole یکپارچه‌سازی داشته‌اند (توجه داشته باشید که چرخش اعتبار، نشست‌های موقت صادر شده قبلی را پایان نمی‌دهد)
• بررسی لاگ‌های CloudTrail از تاریخ 1 اکتبر به بعد برای یافتن رویدادهای AssumeRole که در آن userIdentity.accountId با شناسه حساب AWS شرکت Qubole یعنی 805246085872 مطابقت دارد، به ویژه موارد نشأت گرفته از آدرس‌های IP غیر AWS
• بررسی تمام فعالیت‌های بعدی هر نشست نقش یافته شده، به ویژه در سرویس‌های Secrets Manager، SSM Parameter Store، Lambda و S3
• چرخش تمام اطلاعات محرمانه، پارامترها و متغیرهای محیطی Lambda که نقش قابلیت خواندن آن‌ها را داشته است، در صورت فرض اینکه بازیگر تهدید نقش یکپارچه‌سازی را به عهده گرفته است
• ابطال نشست‌های فعال برای نقش‌های مشکوک یا آسیب‌دیده