Wiz: saldırgan Qubole'un AWS hesabını kullanarak müşteri IAM rollerini üstlendi, gizli bilgileri ve S3 verilerini çaldı

Ne oldu

Güvenlik firması Wiz, 9 Kasım'da bir saldırganın 14 Ekim'den 26 Ekim'e kadar on iki gün boyunca, hiçbir müşteri kimlik bilgisine dokunmadan birden fazla Qubole müşterisinin AWS ortamlarının içinde faaliyet gösterdiğini açıkladı. dev.to'da yeniden yayımlanan bir RedEye Threat Intelligence analizine göre izinsiz giren kişi, Qubole'un veri gölü platformunun müşteri ortamlarına erişmek için kullandığı 805246085872 numaralı AWS hesabının kimlik bilgilerini elinde tutuyordu ve bunları, müşterilerin tedarikçiyi kabul etmek için oluşturduğu IAM rollerini üstlenmek amacıyla kullandı.

Sentra, faaliyeti önce kendi müşterilerinin birkaç ortamında fark etti ve Wiz'i uyardı. The Hacker News yayım gününde kontrol ettiğinde Qubole da sahibi Idera da bir açıklama yayımlamamıştı; Wiz ise kimlik bilgilerinin nasıl ele geçirildiğini, devre dışı bırakılıp bırakılmadığını veya faaliyetin durup durmadığını açıklamadı.

Güven ilişkisi neden açık oldu

Qubole müşteri AWS hesaplarının içinde çalıştığı için her müşteri, güven politikasında Qubole'un hesabını belirten bir IAM rolü oluşturur ve her AssumeRole çağrısında Qubole'un sağladığı, eşleşen bir External ID bulunmalıdır. Saldırganın isteklerinin tümü doğru External ID'yi içeriyordu ve kabul edildi — mekanizma tam olarak tasarlandığı gibi çalıştı. AWS'nin kendi kılavuzu External ID'yi gizli olmayan bir bilgi olarak değerlendirir: rolü okuyabilen herkese görünür, CloudTrail loglarında düz metin olarak yer alır ve tedarikçiler ile infrastructure-as-code depolarında rutin olarak saklanır. Saldırgan güvenilen hesabı ele geçirdiğinde bu kontrol hiçbir gerçek direnç göstermedi.

Wiz ayrıca, saldırganın üstlendiği rollerin çoğunun atıl olduğunu tespit etti. Qubole kullanmayı bırakan eski müşteriler rolü veya güven ilişkisini hiç kaldırmamış, tedarikçi hesabına ortamlarına kalıcı erişim bırakmıştı.

Saldırgan içeride ne yaptı

Önce kimlik bilgileri, sonra veriler. Wiz'in incelediği hesaplarda saldırgan Lambda ortam değişkenlerini okudu, AWS Secrets Manager'dan gizli bilgileri çekti, SSM Parameter Store değerlerini okudu ve topladığı materyali TruffleHog'dan geçirerek hangi kimlik bilgilerinin gerçekten çalıştığını doğruladı — bunlara kurbanların kendi AWS erişim anahtarları, Entra ID client secret'ları ve Okta client kimlik bilgileri de dahildi. Saldırgan ardından, rolün erişebildiği her bucket'tan S3 verisi kopyaladı; bazı durumlarda tek bir oturumda bir bucket'ın tamamını indirdi ve belirgin bir hedefleme gözlenmedi.

Wiz bu kampanyayı başka herkese açık olarak raporlanmış bir faaliyetle ilişkilendirmiş değil ve ayrım gözetmeksizin yapılan toplamanın tipik devlet destekli hedeflemeyle örtüşmediğine dikkat çekiyor. Doğrulanan Entra ID ve Okta gizli bilgileri AWS ötesinde de önemli: patlama yarıçapını kurbanların kimlik sağlayıcılarına ve bu kimliklerin erişebildiği her SaaS uygulamasına genişletiyorlar.

8 Ekim'den 11 Ekim'e kadar süren ikinci, ayrı bir kampanyada ise bir saldırgan, müşterilerin kendi statik AWS erişim anahtarlarını — Wiz'in Qubole'un alternatif bağlantı yöntemi için oluşturulduğuna inandığı anahtarları — kullanarak birkaç ortamı ele geçirdi. Wiz iki kampanyayı birbirine bağlamadı, ancak ikisi de aynı tedarikçi entegrasyonu üzerinden aynı müşteri tabanına vurdu.

Tespit kılavuzu ve bir loglama boşluğu

Wiz'in avlanma kılavuzu, Qubole rolü barındıran her hesapta 1 Ekim'den itibaren CloudTrail verilerini kapsıyor. Meşru Qubole trafiği yalnızca AWS adres alanından kaynaklandığı için kaynak adres, tek başına en güçlü sinyal. Göstergeler arasında 805246085872 numaralı hesaptan AWS dışı adreslerden gelen AssumeRole çağrıları, iki şüpheli IAM principal'ı, OVH'da barındırılan ve Mullvad VPN kaynaklı IP'ler, quiam- ile başlayan role session adları ve GetCallerIdentity çağrılarında TruffleHog user agent'ı yer alıyor.

Bir boşluk olay müdahalesini sınırlıyor: CloudTrail management event'leri her AssumeRole çağrısını ve bucket listelemesini kaydeder, ancak hangi S3 nesnelerinin okunduğunu kaydetmez. Bu, S3 data event'lerini veya S3 server access log'larını gerektirir; birkaç kurban bunları etkinleştirmemişti ve müdahale eden ekipler tam olarak ne alındığını belirleyemedi.

Wiz'in düzeltme önerileri

Wiz, üstlenilen her Qubole rolünü tam bir kimlik bilgisi ihlali olarak değerlendiriyor: rolün erişebildiği her gizli bilgiyi, parametreyi ve Lambda ortam değişkenini döndürün ve rolün aktif oturumlarını iptal edin; çünkü tek başına döndürme, zaten verilmiş oturumları sonlandırmaz. Uzun vadede Wiz, artık gerekmeyen Qubole rollerinin kaldırılmasını, güven politikalarındaki hesap geneli root principal'larının desteklendiği yerlerde Qubole'un belirli IAM principal'ıyla değiştirilmesini, tedarikçinin belgelenmiş ağ aralıklarına bağlı SourceIp veya SourceVpce koşulları eklenmesini, olaydan sonra External ID'nin döndürülmesini, rol başına farklı değerler kullanılmasını ve VPN altyapısı üzerinden gelen tedarikçi hesabı AssumeRole trafiğine alarm konulmasını öneriyor. Wiz, tek başına bir kaynak IP koşulunun gözlemlediği her rol üstlenmeyi engelleyeceğini belirtiyor.

Wiz ayrıca kök neden olarak aşırı geniş tedarikçi izinlerine işaret ediyor: Qubole'un kendi kurulum kılavuzu, hesaptaki her bucket'a okuma erişimi veren örnek bir S3 politikası içeriyor ve tedarikçi rollere kolaylık olsun diye sıkça Lambda yapılandırma, Secrets Manager, SSM ve geniş S3 okuma hakları veriliyor.

Neden önemli

Bu, zehirli bir paket içermeyen bir tedarik zinciri ihlali: güvenilen artefakt bir hesaplar arası güven politikasıydı ve çoğunlukla ürünü çoktan bırakmış kuruluşlar tarafından yerinde bırakılmıştı; yaygın bir şekilde güvenlik sınırı olarak değerlendirilen External ID ise pek çok şey olmayan bir yönlendirme etiketi gibi işlev gördü. Müşteri bulutlarına kalıcı AssumeRole erişimi olan her SaaS platformu aynı saldırının şablonudur ve aynı boşluklar bir sonraki kurbanın etkisini belirleyecek: atıl tedarikçi rolleri, root düzeyinde güven principal'ları, ağ koşullarının olmayışı, geniş S3 ve gizli bilgi izinleri ile eksik S3 data event loglaması. Qubole veya Idera hesabın nasıl ele geçirildiğini açıklayana ve kapsamayı doğrulayana kadar, Qubole güven ilişkisine sahip her kuruluş maruziyetini çözülmemiş saymalı.