Saldırganlar Qubole'un Güvenilir AWS Erişimini Kullanarak Müşteri Hesaplarına Sızdı ve Veri Çaldı

Saldırganlar, 14 Ekim ile 26 Ekim arasında Qubole'un güvenilir AWS hesabını kullanarak müşteri IAM rollerini üstlendi ve birden fazla bulut hizmetinden kimlik bilgileri ile veri çaldı.

Saldırı Ayrıntıları

Bu sızma sırasında Qubole platform hesabının kimliği 805246085872 kullanıldı. Her AssumeRole isteği geçerli bir harici kimlik içeriyordu; AWS bunu gizli kabul etmez ve CloudTrail günlüklerinde görünür. Saldırgan; Lambda ortam değişkenlerine, Secrets Manager'a ve SSM Parameter Store'a erişti, ardından toplanan anahtarları TruffleHog ile test etti. Veriler, üstlenilen rolün okuyabildiği her S3 kovasından kopyalandı; bazen tek oturumda tüm kovalar indirildi. 8 Ekim ile 11 Ekim arasındaki ayrı bir kampanya, Qubole için yapılandırılmış müşterilere ait AWS erişim anahtarlarını kullandı ve birkaç ortamı tehlikeye attı.

Tespit Rehberi

Kuruluşlar, 1 Ekim'den itibaren CloudTrail yönetim olaylarını; istekte bulunan hesap kimliği 805246085872 olan ve kaynak IP adresi bir AWS adresi olmayan AssumeRole çağrıları için aramalıdır. Temel göstergeler şunlardır: kaynak dış olduğunda IAM principal kimlikleri AIDA3W7DIFLYOLTK63SFS ve AIDAJYRRH5Y3A7AAJM2HW, IP adresleri 57.129.54.120, 2001:41d0:70d:7800::, 45.83.220.211, 185.209.199.73, 89.37.63.175, quiam- ile başlayan oturum adları ve GetCallerIdentity çağrılarında TruffleHog kullanıcı aracısı. Şüpheli bir oturumdan sonra özellikle Secrets Manager, SSM Parameter Store, Lambda ve S3 üzerinde gerçekleştirilen tüm eylemleri inceleyin. Nesne düzeyinde okumaları yakalamak için S3 veri olaylarını veya sunucu erişim günlüklerini etkinleştirin.

Risk Azaltma Adımları

Bir Qubole rolü üstlenildiyse, rolün erişebileceği tüm gizli bilgileri, parametreleri ve Lambda ortam değişkenlerini yenileyin ve etkin oturumları iptal edin. Kullanılmayan Qubole rollerini kaldırın veya rol güven ilkesinden Qubole hesabını silin. Mümkün olduğunda, güven ilkesindeki hesap genelindeki kök principal yerine Qubole'un kullandığı belirli IAM principal'ı kullanın ve AssumeRole işlemini Qubole'un belgelenmiş ağ aralıklarıyla sınırlamak için aws:SourceIp veya aws:SourceVpce koşulu ekleyin. Olaydan sonra harici kimlikleri değiştirin ve her rol için benzersiz bir değer kullanın. Satıcı rollerine verilen izinleri denetleyin; bunlar genellikle geniş S3 okuma, Lambda, Secrets Manager ve SSM erişimi içerir. Satıcının kullanmadığı VPN veya barındırma sağlayıcılarından gelen AssumeRole istekleri için uyarılar ayarlayın ve hassas kovalar için S3 veri olaylarıyla birlikte kuruluş genelinde CloudTrail günlüklemesini sağlayın.

Kaynaklar: The Hacker News · The Register