תוקפים ניצלו גישה אמינה של Qubole ב-AWS לפריצה לחשבונות לקוחות וגניבת נתונים

לפי חברת אבטחת הענן Wiz, תוקפים ניצלו את חשבון ה-AWS המהימן של Qubole כדי להשתלט על תפקידי IAM של לקוחות בין 14 ל-26 באוקטובר, וגנבו אישורים ונתונים ממספר שירותי ענן.

פרטי המתקפה

הפריצה השתמשה במזהה החשבון של פלטפורמת Qubole, 805246085872. כל בקשת AssumeRole כללה מזהה חיצוני, שאותו AWS אינה מחשיבה לסוד והוא גלוי ביומני CloudTrail. התוקפים ניגשו למשתני הסביבה של פונקציות Lambda, ל-Secrets Manager ול-SSM Parameter Store, ואז בדקו באמצעות TruffleHog את המפתחות שאספו. נתונים הועתקו מכל דלי S3 שאותו יכול היה לקרוא תפקיד שאומץ, ולעיתים הורדו דליים שלמים בסשן אחד. בקמפיין נפרד, בין 8 ל-11 באוקטובר, השתמש התוקף במפתחות גישה של AWS השייכים ללקוחות ושהוגדרו עבור Qubole, ופגע בכמה סביבות.

הנחיות זיהוי

על הארגונים לחפש באירועי הניהול של CloudTrail, מ-1 באוקטובר ואילך, קריאות AssumeRole שבהן מזהה החשבון המבקש הוא 805246085872 וכתובת ה-IP של המקור אינה כתובת של AWS. בין האינדיקטורים המרכזיים: מזהי ה-IAM principal AIDA3W7DIFLYOLTK63SFS ו-AIDAJYRRH5Y3A7AAJM2HW כאשר המקור חיצוני, כתובות ה-IP 57.129.54.120, 2001:41d0:70d:7800::, 45.83.220.211, 185.209.199.73 ו-89.37.63.175, שמות סשן שמתחילים ב-quiam-, וסוכן המשתמש TruffleHog בקריאות GetCallerIdentity. יש לסקור את כל הפעולות שבוצעו לאחר כל סשן חשוד, במיוחד ב-Secrets Manager, ב-SSM Parameter Store, ב-Lambda וב-S3. יש להפעיל אירועי נתונים של S3 או יומני גישה של השרת כדי לתעד קריאות ברמת האובייקט.

צעדי הקלה

אם התוקף השתלט על תפקיד Qubole, יש להחליף את כל הסודות, הפרמטרים ומשתני הסביבה של Lambda שהתפקיד יכול היה להגיע אליהם, ולבטל סשנים פעילים. יש להסיר תפקידי Qubole שאינם בשימוש או להוציא את חשבון Qubole ממדיניות האמון של התפקיד. היכן שאפשר, יש להחליף את ה-root principal ברמת החשבון במדיניות האמון ב-IAM principal הספציפי שבו משתמשת Qubole, ולהוסיף תנאי aws:SourceIp או aws:SourceVpce שמגביל את AssumeRole לטווחי הרשת המתועדים של Qubole. לאחר תקרית יש להחליף מזהים חיצוניים ולהשתמש בערך ייחודי לכל תפקיד. יש לבדוק את ההרשאות הניתנות לתפקידי ספק, שבדרך כלל כוללות קריאת S3 רחבה וגישה ל-Lambda, ל-Secrets Manager ול-SSM. יש להגדיר התראות לבקשות AssumeRole שמגיעות מ-VPN או מספקי אחסון שהספק אינו משתמש בהם, ולהפעיל רישום CloudTrail ברמת הארגון עם אירועי נתונים של S3 עבור דליים רגישים.

מקורות: The Hacker News · The Register