مهاجمان برای سرقت اسرار به ادغام‌های AWS اعتماد کردند

مهاجمان ناشناس برای دسترسی به محیط‌های AWS مشتریان، سرقت اسرار و سایر داده‌های حساس از سطل‌های S3، از اعتبارنامه‌های هویت و مدیریت دسترسی (IAM) به خطر افتاده مرتبط با حساب AWS Qubole استفاده کردند.

Qubole یک پلت فرم پردازش داده های ابری است که از نقش های IAM بین حسابی برای مدیریت محاسبات و دسترسی به فضای ذخیره سازی در محیط های AWS مشتریان بدون نیاز به مشتریان برای ارائه کلیدهای دسترسی طولانی مدت AWS استفاده می کند. حمله زنجیره تامین از این رابطه اعتماد بین حسابی شخص ثالث سوء استفاده کرد.

فروشگاه امنیت ابری گوگل ویز از اعلام تعداد سازمان‌هایی که تحت تأثیر قرار گرفته‌اند خودداری کرد، اما آن را «کمپین زنجیره تأمین گسترده و فرصت‌طلبانه» نامید که به محیط‌های «چندین» مشتریان ضربه زد.

محققان در پاسخ ایمیلی به سوالات به The Register گفتند: «از آنجایی که بسیاری از سازمان‌ها سیاست‌های اعتماد را حتی پس از منسوخ کردن پلتفرم فعال باقی گذاشتند، مهاجم توانست با موفقیت نقش‌های یکپارچه‌سازی را بر عهده بگیرد، منابع ابری را برشمرد، اسرار برداشت و داده‌های سیفون را بر عهده بگیرد.

نه AWS و نه Qubole به سوالات The Register پاسخ ندادند.

ویز، پس از اینکه شرکت امنیت داده‌های هوش مصنوعی Sentra فعالیت‌های مشکوک را پرچم‌گذاری کرد، با پاسخ‌دهنده‌های رویداد Mandiant گوگل کار می‌کرد، این فعالیت مخرب را به ۱۴ اکتبر ردیابی کرد، زمانی که اعتبارنامه‌های مرتبط با حساب AWS Qubole برای فراخوانی sts:AssumeRole API برای دریافت اعتبارنامه‌های موقت برای نقش‌های یکپارچه‌سازی مدیریت‌شده توسط مشتری استفاده شد.

این تماس‌ها از حساب Qubole AWS 805246085872 سرچشمه می‌گیرد و از شناسه کاربر IAM AIDA3W7DIFLYOLTK63SFS استفاده می‌کند، Zack Morrow، Sean Johnstone و Benjamin Read تحلیل‌گران Wiz در وبلاگی روز دوشنبه در مورد حمله زنجیره تامین گفتند. این سه نفر نوشت: «در سراسر محیط‌های آسیب‌دیده، Wiz CIRT این کاربر IAM را در هیچ فعالیت دیگری غیر از فعالیت‌های مرتبط با این عامل تهدید مشاهده نکرده است».

این فعالیت در 15 اکتبر ادامه یافت و در 18 اکتبر، مزاحمان دیجیتال شروع به استفاده از کاربر دوم IAM از همان حساب کردند.

زمانی که کلاهبرداران وارد محیط‌های مشتریان شدند، شروع به بررسی تعداد زیادی از خدمات AWS و سرقت اعتبارنامه‌ها، کلیدها و سایر اسرار ذخیره‌شده در Lambda، Secrets Manager و SSM Parameter Store کردند.

بدکاران همچنین از TruffleHog برای آزمایش اعتبار AWS متعلق به سازمان‌های قربانی، کشف اسرار Microsoft Entra ID و درخواست توکن‌های OAuth با استفاده از اعتبار مشتری Okta که در حین جستجو در محیط‌های AWS کشف شده‌اند، استفاده کردند.

سوء استفاده از نقش‌های یکپارچه‌سازی همچنین به مجرمان اجازه داد تا داده‌ها را از فضای ذخیره‌سازی S3 مشتریان بدزدند، اگرچه به نظر می‌رسد که آنها تا حد زیادی مهاجمان فرصت‌طلب بوده‌اند، در برخی موارد بر خلاف جاسوسان تحت حمایت دولت که به دنبال داده‌های خاص هستند، کل سطل‌ها را دانلود می‌کنند.

شکارچیان تهدید حمله زنجیره تامین را به گروه خاصی نسبت نداده اند و می گویند که هیچ بینشی در مورد نحوه استفاده افراد نابکار از داده های سرقت شده ندارند.

هنگام بررسی این حادثه، Wiz یک کمپین جداگانه بین 8 و 11 اکتبر مشاهده کرد که همچنین از کلیدهای دسترسی AWS متعلق به مشتری برای ادغام‌های Qubole استفاده می‌کرد. در حالی که «تعداد کمی» از این موارد همچنین منجر به به خطر انداختن محیط‌های AWS سازمان‌های قربانی توسط متجاوزان شد، ویز گفت که نمی‌تواند به طور قطعی این دو مجموعه از فعالیت‌های مخرب را به هم متصل کند.

سازمان‌هایی که با Qubole ادغام شده‌اند باید اعتبارنامه‌ها را بچرخانند - اگرچه چرخش اعتبار به جلسات موقتی که قبلا صادر شده بود پایان نمی‌دهد.

مشتریان همچنین باید CloudTrail را از 1 اکتبر به بعد بررسی کنند و به دنبال رویدادهای AssumeRole باشند که در آن userIdentity.accountId با شناسه حساب AWS Qubole، 805246085872، به ویژه مواردی که از آدرس های IP غیر AWS منشا می گیرند، مطابقت دارد.

محققان نوشتند: «برای هر جلسه نقشی که پیدا می‌کنید، تمام فعالیت‌های بعدی آن جلسه، به خصوص Secrets Manager، SSM Parameter Store، Lambda و S3 را مرور کنید. «اگر عامل تهدید نقش یکپارچه‌سازی را بر عهده گرفت، هر رمز، پارامتر و متغیر محیطی لامبدا را که نقش می‌توانست بخواند، بچرخانید و جلسات فعال را برای نقش لغو کنید.»