Hücumçular Qubole-un etibarlı AWS girişindən istifadə edərək müştəri hesablarını pozub və məlumat oğurlayıblar

Hücumçular Qubole-un etibarlı AWS hesabından istifadə edərək 14 oktyabrdan 26 oktyabra qədər müştəri IAM rollarını ələ keçirib və bir neçə bulud xidmətindən etimadnamələri və məlumatları oğurlayıblar.

Hücum təfərrüatları

Soxulma Qubole platformasının 805246085872 hesab identifikatorundan istifadə edib. Hər AssumeRole sorğusu etibarlı xarici ID daşıyırdı; AWS bunu gizli məlumat kimi qiymətləndirmir və bu, CloudTrail qeydlərində görünür. Hücumçu Lambda mühit dəyişənlərinə, Secrets Manager-a və SSM Parameter Store-a daxil olub, sonra TruffleHog ilə əldə edilmiş açarları yoxlayıb. Məlumatlar ələ keçirilmiş rolun oxuya bildiyi istənilən S3 bucket-dan köçürülüb, bəzən bir sessiyada bütöv bucket-lər endirilib. 8 oktyabrdan 11 oktyabra qədər davam edən ayrı kampaniyada Qubole üçün konfiqurasiya edilmiş müştərilərin öz AWS giriş açarlarından istifadə edilib və bir neçə mühit pozulub.

Aşkarlama təlimatları

Təşkilatlar 1 oktyabrdan etibarən CloudTrail idarəetmə hadisələrini sorğu göndərən hesabın ID-si 805246085872 olan və mənbə IP ünvanı AWS ünvanı olmayan AssumeRole çağırışları üçün axtarmalıdır. Əsas göstəricilərə mənbə xarici olduqda IAM principal ID-ləri AIDA3W7DIFLYOLTK63SFS və AIDAJYRRH5Y3A7AAJM2HW, IP ünvanları 57.129.54.120, 2001:41d0:70d:7800::, 45.83.220.211, 185.209.199.73, 89.37.63.175, quiam- ilə başlayan sessiya adları və GetCallerIdentity çağırışlarında TruffleHog istifadəçi agenti daxildir. Şübhəli sessiyadan sonra edilən bütün əməliyyatları, xüsusilə Secrets Manager, SSM Parameter Store, Lambda və S3-də edilənləri yoxlayın. Obyekt səviyyəsində oxumaları qeyd etmək üçün S3 məlumat hadisələrini və ya server giriş qeydlərini aktiv edin.

Azaltma addımları

Qubole rolu ələ keçirilibsə, rolun çata bildiyi bütün gizli məlumatları, parametrləri və Lambda mühit dəyişənlərini dəyişdirin və aktiv sessiyaları ləğv edin. İstifadə olunmayan Qubole rollarını silin və ya rolun etibar siyasətindən Qubole hesabını çıxarın. Mümkün olduqda etibar siyasətindəki hesab səviyyəsindəki root principal-ı Qubole-un istifadə etdiyi konkret IAM principal ilə əvəz edin və AssumeRole-u Qubole-un sənədləşdirilmiş şəbəkə aralıqları ilə məhdudlaşdıran aws:SourceIp və ya aws:SourceVpce şərti əlavə edin. Hadisədən sonra xarici ID-ləri dəyişdirin və hər rol üçün unikal dəyər istifadə edin. Satıcı rollarına verilmiş icazələri audit edin; bu icazələr çox vaxt geniş S3 oxuma, Lambda, Secrets Manager və SSM girişini əhatə edir. Satıcının istifadə etmədiyi VPN və ya hostinq provayderlərindən gələn AssumeRole sorğuları üçün xəbərdarlıqlar qurun və həssas bucket-lər üçün təşkilat səviyyəsində CloudTrail qeydiyyatı ilə S3 məlumat hadisələrini təmin edin.

Mənbələr: The Hacker News · The Register