Հարձակվողները շահագործել են Qubole-ի վստահելի AWS մուտքը՝ հաշիվներ կոտրելու և տվյալներ գողանալու համար

Հարձակվողները օգտագործել են Qubole-ի վստահելի AWS հաշիվը՝ հոկտեմբերի 14-ից 26-ը հաճախորդների IAM դերերը ստանձնելու և բազմաթիվ ամպային ծառայություններից հավատարմագրեր ու տվյալներ գողանալու համար։

Հարձակման մանրամասներ

Ներխուժումը օգտագործել է Qubole հարթակի հաշվի նույնացուցիչը՝ 805246085872։ Յուրաքանչյուր AssumeRole հարցում պարունակել է վավեր արտաքին ID, որը AWS-ը համարում է ոչ գաղտնի և երևում է CloudTrail մատյաններում։ Հարձակվողը մուտք է գործել Lambda միջավայրի փոփոխականներ, Secrets Manager և SSM Parameter Store, ապա հավաքագրված բանալիները փորձարկել TruffleHog-ով։ Տվյալները պատճենվել են ցանկացած S3 բայքեթից, որը ստանձնված դերը կարող էր կարդալ, երբեմն մեկ սեսիայում ներբեռնելով ամբողջ բայքեթներ։ Հոկտեմբերի 8-ից 11-ը առանձին արշավը օգտագործել է հաճախորդների սեփական AWS մուտքի բանալիները, որոնք կարգավորված էին Qubole-ի համար, և վտանգել է մի քանի միջավայր։

Հայտնաբերման ուղեցույց

Կազմակերպությունները պետք է հոկտեմբերի 1-ից սկսած որոնեն CloudTrail կառավարման իրադարձություններում AssumeRole կանչեր, որտեղ հարցում կատարող հաշվի ID-ն է 805246085872, իսկ աղբյուր IP հասցեն AWS հասցե չէ։ Հիմնական ցուցանիշները ներառում են IAM հիմնական նույնացուցիչներ AIDA3W7DIFLYOLTK63SFS և AIDAJYRRH5Y3A7AAJM2HW, երբ աղբյուրը արտաքին է, IP հասցեները՝ 57.129.54.120, 2001:41d0:70d:7800::, 45.83.220.211, 185.209.199.73, 89.37.63.175, quiam- նախածանցով սկսվող սեսիայի անուններ և TruffleHog օգտատիրոջ գործակալը GetCallerIdentity կանչերում։ Վերանայեք կասկածելի սեսիայից հետո կատարված բոլոր գործողությունները, հատկապես Secrets Manager-ում, SSM Parameter Store-ում, Lambda-ում և S3-ում։ Միացրեք S3 տվյալների իրադարձությունները կամ սերվերի մուտքի մատյանները՝ օբյեկտների մակարդակով ընթերցումները գրանցելու համար։

Մեղմացման քայլեր

Եթե Qubole դեր է ստանձնվել, պտտեք բոլոր գաղտնիքները, պարամետրերը և Lambda միջավայրի փոփոխականները, որոնք դերը կարող էր հասնել, և չեղարկեք ակտիվ սեսիաները։ Հեռացրեք չօգտագործվող Qubole դերերը կամ ջնջեք Qubole-ի հաշիվը դերի վստահության քաղաքականությունից։ Որտեղ հնարավոր է, փոխարինեք հաշվի մակարդակի root հիմնական նույնացուցիչը վստահության քաղաքականությունում Qubole-ի օգտագործած կոնկրետ IAM հիմնական նույնացուցիչով և ավելացրեք aws:SourceIp կամ aws:SourceVpce պայման, որը AssumeRole-ը սահմանափակում է Qubole-ի փաստաթղթավորված ցանցային տիրույթներով։ Փոխեք արտաքին ID-ները միջադեպից հետո և յուրաքանչյուր դերի համար օգտագործեք եզակի արժեք։ Ստուգեք վաճառողի դերերին տրված թույլտվությունները, որոնք հաճախ ներառում են լայն S3 ընթերցում, Lambda, Secrets Manager և SSM մուտք։ Կարգավորեք ահազանգեր AssumeRole հարցումների համար, որոնք գալիս են VPN կամ հոսթինգ մատակարարներից, որոնք վաճառողը չի օգտագործում, և ապահովեք կազմակերպության մակարդակի CloudTrail մատյանագրում S3 տվյալների իրադարձություններով զգայուն բայքեթների համար։

Աղբյուրներ՝ The Hacker News · The Register