Çalınan Qubole kimlik bilgileriyle gerçekleştirilen tedarik zinciri saldırısı düzineden fazla müşteriyi etkiledi

Ne oldu

Güvenlik firması Sentra, bir saldırganın büyük veri platformu Qubole'a ait kimlik bilgilerini ele geçirip, Qubole müşterilerinin satıcıya zaten tanımış olduğu erişimi kullanarak sessizce verilerini okuduğu bir tedarik zinciri saldırısını açıkladı. Sentra'nın raporuna göre düzineden fazla kuruluş etkilendi ve bunların hiçbiri doğrudan ihlal edilmedi — saldırgan her birine paylaşılan, güvenilen bir satıcı üzerinden ulaştı.

Sentra, kampanyayı Wiz'e bildirdi; Wiz konuyu Sentra ve Mandiant ile birlikte araştırdı ve bulguları "Trusted by Default: Qubole Cross-Account Access Abused in the Wild" başlığıyla yayımladı.

Erişimin hızı dikkat çekiciydi. Sentra, her Qubole güvenilir rolünü üstlenmenin yaklaşık bir saniye sürdüğünü, bunun saldırganın kurban kuruluşlar arasında neredeyse anında hareket etmesini sağladığını söylüyor. Yedi dakikalık bir pencerede saldırgan üç farklı depolama konumundan yaklaşık 100 parola ve anahtar ile indirilen dosyaların içindeki binlerce kimlik bilgisi kaydını okudu. Kampanya boyunca saldırgan sıfır yazma işlemi gerçekleştirdi: hiçbir şey değiştirilmedi veya silinmedi, yalnızca kopyalandı ve bu, saldırıyı fark etmeyi çok daha zor hale getirdi.

Uyuyan güven ve geçerli kimlik bilgileri

Saldırganın kullandığı kapılar eski kapılardı. Sentra, Qubole rollerinin ilkbahardan beri atıl olduğunu ve bazı kurbanların Qubole'ı tamamen kullanmayı bırakmışken, hassas verilere hâlâ erişebilen çapraz hesap rollerinin yerinde kaldığını bildiriyor. Sentra, bu rollerden birini saldırıdan önce aylardır kullanılmamış ancak hâlâ hassas verilere erişebiliyor olarak işaretlediğini ekliyor.

Kurbanlar entegrasyonlarını AWS'nin önerdiği şekilde yapılandırmıştı; buna satıcının bir rolü üstlenmeden önce sunması gereken bir kod olan ExternalId de dahildi. Her Qubole rolünde bir ExternalId vardı ve saldırgan her seferinde doğru değeri sundu, dolayısıyla AWS'ye göre oturumlar Qubole'ın kendisi gibi görünüyordu. Ancak hiçbir etkinlik Qubole'ın ağından kaynaklanmıyordu: kiralık bir OVH sunucusundan ve Mullvad VPN hizmetinden geliyordu ve o pencere boyunca meşru hiçbir Qubole etkinliği yoktu.

Saldırı nasıl gelişti

Saldırgan temkinli başladı. Sentra, çalınan kimlik bilgilerinin düşük değerli tek bir rolle yapılan ilk testini, sessiz bir keşif turunu ve binlerce müşteri profili dosyasının ilk hırsızlığını anlatıyor. Sonra tempo değişti: saldırgan dakikalar içinde her Qubole güvenilir rolünü üstlendi ve sonraki günlerde arka planda çalışan toplu indirmeler başlattı. Farklı bir VPN adresinden başlatılan son bir süpürme, üretim veritabanı yedeklerini çekti. Etkinlik ardından durdu, ancak güven ilişkileri yerinde kaldı; yani saldırgan erişimi kaybetmeden sessizliğe büründü.

Kimlik bilgisi hasadı veri hırsızlığıyla birlikte yürüdü. Sentra'ya göre kullanılan teknikler şunlardı:

• AWS Secrets Manager'dan toplu çıkarma; kaynak kontrol, kimlik sağlayıcı, CI ve veritabanı kimlik bilgileri ile satıcının kendi token'ları ve ExternalId'leri ele geçirildi.
• SSM Parameter Store'dan şifresi çözülmüş değerlerin okunması; buna izleme ve tarayıcı agent'larının anahtarları da dahildi.
• Lambda ortam değişkenlerinin toplanması; ilki engellendiğinde ikinci bir yola geçilmesi.
• Token ve parolaların sıklıkla saklandığı başlangıç script'leri olan EC2 kullanıcı verilerinin kazınması.

Hırsızlığın izlenmesi ve kanıtlanması

Sentra, sızan örneklerin kaynağını dosya adlarını — bunları değiştirmek çocuk oyuncağıdır — değil dosya içeriklerini daha önce taramış olduğu verilerle eşleştirerek belirledi ve kaynakları birkaç S3 bucket'ına indirdi. Her bucket yüzlerce kimlik tarafından erişilebilirdi, bu yüzden ekip satıcılar, araçlar ve partnerler gibi harici kimliklere filtreledi, sonra hangilerinin kaynak bucket'ların çoğunu okuyabileceğini sordu. Biri öne çıktı: Qubole. Yetenek tek başına kanıt değildir, bu yüzden ekip her harici kimliğin etkinliğini kendi geçmiş taban çizgisiyle karşılaştırdı — ne zaman kullanıldığı, ne sıklıkla, hangi IP adreslerinden ve ne yaptığı. Bir hariç her satıcı normal görünüyordu.

Tam olarak neyin alındığını kanıtlamak ayrı bir sorundu, çünkü çoğu bulut depolaması varsayılan olarak okunan her dosyayı kaydetmez. Sentra tabloyu üç yerden birleştirdi. Şifre çözme kilit açma günlükleri, şifreli bir nesne her indirildiğinde dosya adını kaydeder; bu kayıtları saldırganın oturumlarıyla eşleştirmek hangi dosyaların çıktığını gösterdi. Kimlik bilgisi erişim kayıtları, rotasyon gerektiren kimlik bilgilerinin tam bir listesini üretti. Etkinleştirilmiş olduğu yerlerde dosya erişim günlükleri indirilen her dosyayı kaydetti; bir kurbanın hesaplarında bu milyonlarca dosyaya karşılık geliyordu ve şifreli bucket'larda bu günlükler şifreleme kayıtlarıyla tam olarak eşleşti. Yalnızca varsayılan şifrelemele korunan dosyalar böyle bir iz bırakmaz, dolayısıyla gerçek toplamlar muhtemelen daha yüksektir.

Neden önemli

Rahatsız edici ders şu ki doğru yapılandırma burada işe yaramadı. Kurbanlar AWS rehberliğini izlemişti, yine de saldırganın erişimi gerçekten geçerliydi ve her günlükte meşru görünüyordu. Sentra, bu tür bir ihlali anlamlı biçimde sınırlayan yalnızca iki şey olduğunu savunuyor: her satıcı entegrasyonunu gerçekten ihtiyaç duyduğu en az veriyle sınırlamak, böylece çalınan bir anahtar mümkün olduğunca azını açsın, ve her kimliğin verileri nasıl kullandığının davranışsal izlenmesi, böylece saldırgan gibi davranmaya başlayan güvenilir bir kimlik işaretlensin.

Olay ayrıca unutulmuş satıcı güveni riskinin altını çiziyor: bir şirketin bulutuna bağladığı her entegrasyon arkada kalıcı bir erişim bırakabilir ve bu erişim çoğu zaman en hassas veriye ulaşabilir; atıl roller nadiren gözden geçirilir. İhlal bildirim süreleri 72 saat kadar kısa olabildiğinden, hangi depolarının kişisel, finansal ve kimlik bilgisi verisi içerdiğini zaten bilen kuruluşlar — bir veri güvenliği platformu satan Sentra, müşterileri için bunu yaptığını not ediyor — neyin alındığını sıfırdan başlayanlardan çok daha hızlı yanıtlayabilir.