مهاجمون يستغلون وصول Qubole الموثوق إلى AWS لاختراق حسابات العملاء وسرقة البيانات
استغل مهاجمون حساب Qubole الموثوق في AWS لتولي أدوار IAM للعملاء بين 14 و26 أكتوبر، وسرقة أسرار وبيانات من S3 وSecrets Manager وLambda، وفقاً لشركة Wiz للأمن السحابي.
استغل المهاجمون حساب Qubole الموثوق في AWS لتولي أدوار IAM الخاصة بالعملاء بين 14 و26 أكتوبر، وسرقة بيانات اعتماد وبيانات من عدة خدمات سحابية.
تفاصيل الهجوم
استخدم الاختراق معرّف حساب منصة Qubole 805246085872. تضمّن كل طلب AssumeRole معرّف خارجي (external ID) صالحاً، الذي تعامله AWS كقيمة غير سرية وتظهر في سجلات CloudTrail. وصل المهاجم إلى متغيرات بيئة Lambda وSecrets Manager وSSM Parameter Store، ثم اختبر المفاتيح المجموعة باستخدام TruffleHog. ونُسخت البيانات من أي حاوية S3 يمكن للدور المتولّي قراءتها، وأحياناً تحميل حاويات كاملة في جلسة واحدة. واستخدمت حملة منفصلة من 8 إلى 11 أكتوبر مفاتيح AWS الخاصة بالعملاء والمكوّنة لـ Qubole، مما أدى إلى اختراق عدد قليل من البيئات.
إرشادات الكشف
يجب على المؤسسات البحث في أحداث إدارة CloudTrail من 1 أكتوبر فصاعداً عن استدعاءات AssumeRole التي يكون فيها معرّف الحساب الطالب 805246085872 وعنوان IP المصدر ليس عنوان AWS. ومن المؤشرات الرئيسية معرّفات principal في IAM: AIDA3W7DIFLYOLTK63SFS و AIDAJYRRH5Y3A7AAJM2HW عندما يكون المصدر خارجياً، ونطاقات IP: 57.129.54.120، 2001:41d0:70d:7800::، 45.83.220.211، 185.209.199.73، 89.37.63.175، وأسماء الجلسات التي تبدأ بـ quiam-، ووكيل المستخدم TruffleHog في استدعاءات GetCallerIdentity. راجعوا جميع الإجراءات التي نُفِّذت بعد أي جلسة مشبوهة، خاصة في Secrets Manager وSSM Parameter Store وLambda وS3. فعّلوا أحداث بيانات S3 أو سجلات الوصول إلى الخادم لالتقاط قراءات على مستوى الكائن.
خطوات التخفيف
إذا تولّى دور Qubole، فدوّروا جميع الأسرار والبارامترات ومتغيرات بيئة Lambda التي يمكن للدور الوصول إليها وألغوا الجلسات النشطة. أزيلوا أدوار Qubole غير المستخدمة أو احذفوا حساب Qubole من سياسة ثقة الدور. حيث أمكن، استبدلوا principal الجذر على مستوى الحساب في سياسة الثقة بـ principal IAM المحدد الذي تستخدمه Qubole وأضيفوا شرط aws:SourceIp أو aws:SourceVpce لقصر AssumeRole على نطاقات الشبكة الموثّقة لـ Qubole. غيّروا المعرّفات الخارجية بعد حادث واستخدموا قيمة فريدة لكل دور. راجعوا الأذونات الممنوحة لأدوار البائعين، التي تشمل غالباً قراءة S3 واسعة وLambda وSecrets Manager وSSM. اضبطوا تنبيهات لطلبات AssumeRole القادمة من موفري VPN أو استضافة لا يستخدمها البائع، وتأكدوا من تسجيل CloudTrail على مستوى المؤسسة مع أحداث بيانات S3 للحاويات الحساسة.
المصادر: The Hacker News · The Register
SiTech — تطوير ويب مدعوم بالذكاء الاصطناعي
نبني مواقع سريعة وعصرية وندمج الذكاء الاصطناعي في سير عمل الشركات. لديك مشروع أو سؤال؟ يسعدنا مساعدتك.