Atacatorii au folosit credențiale asociate contului AWS al Qubole pentru a accesa mediile cloud ale mai multor clienți și a extrage secrete și date. Campania observată între 14 și 26 octombrie a fost dezvăluită de Wiz pe 9 noiembrie.
Potrivit Le Monde Informatique, unele organizații încetaseră utilizarea platformei, dar îi păstraseră autorizațiile.
Acces prin relații de încredere rămase active
Analiza originală Wiz descrie folosirea rolurilor IAM create de clienți pentru integrarea Qubole.
Acestea permiteau obținerea unor credențiale temporare prin AssumeRole. Intrușii au accesat secrete din servicii AWS și au descărcat date din S3, în limitele permisiunilor rolurilor.Ce recomandă cercetătorii
Wiz recomandă inventarierea integrărilor externe, eliminarea relațiilor de încredere neutilizate și examinarea jurnalelor CloudTrail începând cu 1 octombrie. Dacă un rol a fost utilizat de atacator, trebuie revocate sesiunile active și schimbate secretele pe care acesta le putea citi. Rotirea credențialelor nu închide sesiunile temporare deja emise.
Numărul organizațiilor afectate și utilizarea ulterioară a datelor furate nu sunt precizate. Cercetătorii au observat și o activitate separată între 8 și 11 octombrie, fără a stabili o legătură între campanii.
Sursa imagine: AI
