Хакеры через доверенный доступ AWS взломали облачные среды десятков компаний

Злоумышленник использовал скомпрометированные учётные данные IAM аккаунта платформы больших данных Qubole в AWS, чтобы получить доступ к данным клиентов из нескольких облачных сред и выгрузить их. Кампания проходила с 14 по 26 октября и затронула десятки компаний.

Как устроена атака

Qubole — корпоративная платформа облачной обработки и аналитики данных, которая через интеграцию с AWS позволяет управлять вычислительными ресурсами. Компании предоставляют сторонним провайдерам вроде Qubole доступ к своим ресурсам AWS через межаккаунтные роли IAM, а политики доверия определяют, какие внешние аккаунты могут эти роли принимать.

Атакующий скомпрометировал двух пользователей IAM аккаунта Qubole и принял роли, ранее не использовавшиеся, в аккаунтах AWS множества клиентов, у которых было настроено доверие к аккаунту Qubole. Расследование вели специалисты по облачной безопасности Wiz совместно с Mandiant после того, как компания Sentra сообщила о подозрительной активности в средах своих клиентов.

Что похитили

По данным Wiz, злоумышленник изучал облачные ресурсы, извлекал секреты из AWS Secrets Manager и SSM Parameter Store, читал переменные окружения Lambda, а затем с помощью инструмента TruffleHog проверял найденные ключи AWS, секреты Microsoft Entra ID и учётные данные Okta. После получения более глубокого доступа он скачивал данные из всех доступных S3-бакетов, действуя оппортунистически, без выбора конкретных целей.

Sentra подтверждает десятки жертв и миллионы похищенных файлов у одного только клиента; злоумышленник двигался быстро и собирал секреты со скоростью 100 паролей и ключей за семь минут.

Рекомендации

Администраторам советуют проверить журналы CloudTrail с 1 октября на предмет подозрительного доступа из аккаунта Qubole, сменить раскрытые учётные данные и отозвать активные сессии ролей, а также удалить неиспользуемые интеграции и ограничить разрешения ролей по принципу минимальных привилегий. AWS подчеркнула, что её сервисы не были скомпрометированы и работали штатно: атакующие использовали учётные данные стороннего провайдера для доступа к аккаунтам клиентов, доверявших этому провайдеру.

Источники: bleepingcomputer.com, wiz.io, sentra.io