هکرها از دسترسی مطمئن AWS برای نفوذ به چندین محیط ابری سوء استفاده می کنند

یک عامل تهدید برای دسترسی و استخراج داده‌ها از محیط‌های AWS چندین مشتری، از اعتبارنامه‌های شناسایی و مدیریت دسترسی (IAM) برای حساب AWS پلتفرم داده بزرگ Qubole استفاده کرد.

این کمپین بین 14 و 26 اکتبر اجرا شد و ده‌ها شرکت را تحت تأثیر قرار داد که محیط‌های AWS آنها دارای نقش‌های IAM پیکربندی شده بودند تا به یک حساب AWS مرتبط با Qubole اعتماد کنند.

Qubole یک پلت‌فرم پردازش و تجزیه و تحلیل داده‌های ابری سازمانی است که به شرکت‌ها در مدیریت مجموعه داده‌های بزرگ و اجرای بارهای کاری یادگیری ماشین کمک می‌کند. همچنین یکپارچه سازی AWS را برای مدیریت منابع محاسباتی ارائه می دهد.

شرکت‌ها می‌توانند به ارائه‌دهندگان شخص ثالث مانند Qubole اجازه دسترسی به منابع AWS خود را با ایجاد نقش‌های IAM بین حسابی بدهند. خط‌مشی‌های اعتماد تعیین می‌کنند که کدام حساب‌های AWS خارجی می‌توانند این نقش‌ها را بر عهده بگیرند، و مجوزها برای تعریف منابع و اقدامات مجاز تنظیم می‌شوند.

محققان شرکت امنیت ابری Wiz توضیح می دهند که ارائه دهندگان خارجی از STS AssumeRole API AWS برای به دست آوردن اعتبار موقت برای دسترسی به منابع مشتریان در فضای ابری استفاده می کنند.

پس از اینکه شرکت امنیتی و مدیریت داده Sentra اطلاعاتی را در مورد فعالیت مشکوک مشاهده شده در برخی از محیط های مشتریانش به اشتراک گذاشت ویز شروع به بررسی این حمله کرد. این تحقیقات همچنین شامل شرکت امنیت سایبری Mandiant نیز می شود.

محققان دریافتند که مهاجم دو کاربر Qubole IAM را به خطر انداخته و در غیر این صورت نقش‌های بلااستفاده را در حساب‌های AWS مشتریان متعددی که قبلا برای اعتماد به حساب Qubole پیکربندی شده بودند، بر عهده گرفته است و به آنها اجازه دسترسی در مجوزهای نقش را می‌دهد.

ویز می گوید مهاجم سپس منابع ابری را بررسی کرده، اسرار را از AWS Secrets Manager و SSM Parameter Store بازیابی کرده و متغیرهای محیط Lambda را خوانده است.

آنها سپس از ابزار TruffleHog برای اعتبارسنجی کلیدهای AWS کشف شده، اسرار مشتری Entra ID و اعتبار مشتری Okta استفاده کردند.

هنگامی که آنها دسترسی عمیق‌تری به دست آوردند، داده‌ها را از تمام سطل‌های S3 قابل دسترس در محیط AWS دانلود کردند، به‌جای هدف قرار دادن دقیق داده‌های خاص، از یک رویکرد فرصت‌طلبانه پیروی کردند.

ویز توضیح می‌دهد: «توالی در همه محیط‌ها ثابت بود: نقشی را فرض کنید، با ListBuckets تماس بگیرید تا ببینید نقش می‌تواند به چه چیزی برسد، ListObjects و HeadObject را برای شمارش و بررسی محتویات، سپس GetObject برای دانلود آنها تماس بگیرید».

این گزارش روش دقیق مورد استفاده برای به خطر انداختن حساب‌های Qubole یا تعداد قربانیان پایین دستی را مشخص نمی‌کند. با این حال، سنترا ده ها قربانی و میلیون ها فایل سرقت شده از یک مشتری را تایید کرد.

سنترا می گوید مهاجم به سرعت حرکت کرد و اسرار را با سرعت 100 کلمه عبور و کلید در هفت دقیقه جمع آوری کرد.

BleepingComputer نتوانست یک اعلامیه عمومی از Qubole در مورد این حادثه پیدا کند. ما برای اطلاعات بیشتر در مورد این حمله به شرکت ایمیل فرستادیم و منتظر پاسخ آنها هستیم.

به مدیران بالقوه تحت تأثیر توصیه می‌شود که CloudTrail را از اول اکتبر به بعد برای دسترسی مشکوک از حساب AWS Qubole بررسی کنند، دسترسی مخفی و S3 بعدی را بررسی کنند، اعتبارنامه‌های افشا شده را بچرخانند و جلسات نقش فعال را لغو کنند.

همچنین توصیه می شود ادغام های استفاده نشده را حذف کنید و مجوزهای نقش های باقی مانده، هویت های مورد اعتماد و شبکه های منبع مجاز را محدود کنید.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

هکرها سرورهای توسعه یافته Vite را هدف قرار می دهند تا اسرار AWS و Azure را سرقت کنند

شرکت روسی ابری Beget پس از حمله پاک‌کن داده‌ها، از ابتدا بازسازی می‌کند

نفوذ ابر داده Iris Ohyama اطلاعات 7.7 میلیون مشتری را فاش می کند

لانچر بازی NIKKE PC برای گسترش دسترسی از راه دور و بدافزار سرقت اطلاعات هک شد

هکرها آپدیت خودکار cPGuard را برای استقرار درب پشتی، سرقت داده ها ربوده اند