Хакеры похитили данные клиентов Qubole через доверенную роль в AWS
Злоумышленник с 14 по 26 октября проник в учётные записи AWS нескольких клиентов Qubole, платформы для работы с data lake, принадлежащей Idera, и похитил сохранённые секреты и данные. По данным Wiz, он использовал учётные данные аккаунта AWS, через который Qubole обращается к клиентам, а способ их получения не раскрыт.
Главное в цифрах
- Период атаки: с 14 по 26 октября
- Аккаунт AWS платформы Qubole, с которого шли запросы: 805246085872
- Журналы CloudTrail для проверки: с 1 октября
Qubole работает внутри облачных аккаунтов своих клиентов. Чтобы получить доступ, клиент создаёт роль IAM с нужными правами, и политика доверия этой роли разрешает аккаунту Qubole принимать её через запросы AssumeRole. Каждый такой запрос должен содержать External ID, код от Qubole. По словам исследователей Wiz, большинство ролей, которые принимал атакующий, не использовались, но все они по-прежнему доверяли аккаунту Qubole, поэтому его запросы проходили.
Внутри облаков злоумышленник искал сохранённые учётные данные: читал переменные окружения функций Lambda, забирал секреты из Secrets Manager и значения из SSM Parameter Store. Найденные ключи он проверял с помощью TruffleHog. Среди них были собственные ключи доступа AWS жертв, клиентские секреты Entra ID и учётные данные Okta. Данные он копировал из S3, в том числе иногда скачивал целые бакеты за одну сессию.
Что делать организациям
Wiz рекомендует всем, кто подключал Qubole к AWS, даже если сервис уже не используется, проверить журналы CloudTrail с 1 октября. Искать нужно запросы AssumeRole с аккаунта Qubole 805246085872, пришедшие с адресов вне AWS.
В исследовании не сказано, отключены ли скомпрометированные учётные данные и прекратилась ли активность. На момент проверки публичного заявления Qubole и Idera ничего не опубликовали на своих сайтах.
