黑客利用受信任的 AWS 访问权限入侵多个云环境

一名威胁行为者利用 Qubole 大数据平台 AWS 账户中被攻陷的身份与访问管理（IAM）凭据，访问并窃取了多个客户 AWS 环境中的数据。

该活动发生于 10 月 14 日至 26 日之间，影响了数十家公司——它们的 AWS 环境配置了信任 Qubole 相关 AWS 账户的 IAM 角色。

Qubole 是一个企业云数据处理和分析平台，帮助企业处理大型数据集并运行机器学习工作负载。它还提供 AWS 集成以支持计算资源管理。

公司可以通过创建跨账户 IAM 角色，向 Qubole 等第三方提供商授予对其 AWS 资源的访问权限。信任策略决定哪些外部 AWS 账户可以担任这些角色，并通过权限设置来定义允许的资源与操作。

云安全公司 Wiz 的研究人员解释说，外部提供商使用 AWS 的 STS AssumeRole API 获取临时凭据，以访问客户在云中的资源。

在数据安全与治理公司 Sentra 分享了在其部分客户环境中观察到的可疑活动信息后，Wiz 开始调查此次攻击。网络安全公司 Mandiant 也参与了调查。

研究人员发现，攻击者攻陷了两个 Qubole IAM 用户，并在多个此前配置为信任 Qubole 账户的客户 AWS 账户中担任了原本未使用的角色，从而在角色权限范围内获得访问权限。

Wiz 表示，攻击者随后勘察了云资源，从 AWS Secrets Manager 和 SSM Parameter Store 检索密钥，并读取 Lambda 环境变量。

他们随后使用 TruffleHog 工具验证发现的 AWS 密钥、Microsoft Entra ID 客户端密钥和 Okta 客户端凭据。

在获得更深入的访问权限后，他们从 AWS 环境中所有可访问的 S3 存储桶下载数据，采取的是机会主义方式，而非精心针对特定数据。

"各环境中的序列是一致的：担任角色、调用 ListBuckets 查看该角色能触及的范围、调用 ListObjects 和 HeadObject 枚举并检查内容，然后调用 GetObject 下载，" Wiz 解释道。

该报告未说明攻陷 Qubole 账户所用的确切方法或下游受害者的数量。然而，Sentra 证实有数十个受害者，仅从一个客户处就窃取了数百万个文件。

Sentra 表示，攻击者行动迅速，以七分钟 100 个密码和密钥的速度收集密钥。

BleepingComputer 未能找到 Qubole 关于此事件的公开公告。我们已发邮件向该公司询问有关此次攻击的更多信息，并等待其回复。

建议可能受影响的管理员审查 10 月 1 日以来的 CloudTrail，查找来自 Qubole AWS 账户的可疑访问，调查随后的密钥和 S3 访问，轮换暴露的凭据，并撤销活动的角色会话。

还建议移除未使用的集成，并限制其余角色的权限、受信任身份和允许的源网络。