Angreifer missbrauchen Qubole-Vertrauen bei AWS für Datendiebstahl

Wie der Eindringling die Vertrauensgrenze überwand

Qubole, eine Datenplattform im Besitz von Idera, arbeitet innerhalb der AWS-Konten seiner Kunden. Kunden lassen Qubole zu, indem sie eine IAM-Rolle anlegen, also eine AWS-Identität mit eigenen Berechtigungen, deren Vertrauensrichtlinie dem AWS-Konto von Qubole erlaubt, sie zu übernehmen. Jede dieser Anfragen muss eine passende, von Qubole bereitgestellte External ID enthalten.

Der Angreifer erreichte die Kunden mit Zugangsdaten eines AWS-Kontos, auf das sich die Plattform von Qubole stützt. Die Forscher von Wiz stellten fest, dass die meisten übernommenen Rollen ungenutzt waren, jede davon dem Konto von Qubole aber weiterhin vertraute, weshalb die Anfragen gelangen. AWS akzeptiert eine solche Anfrage, wenn sie vom vertrauten Konto stammt und die richtige External ID trägt. Laut AWS-Leitfaden zur External ID ist dieser Code kein Geheimnis und für jeden mit Zugriff auf die Rolle einsehbar. Wie die Zugangsdaten erlangt wurden, ist nicht bekannt.

Was aus den Umgebungen der Opfer abfloss

In den untersuchten Konten suchte der Eindringling nach gespeicherten Zugangsdaten. Er las Umgebungsvariablen von Lambda-Funktionen, holte Geheimnisse aus dem Secrets Manager und Werte aus dem SSM Parameter Store und prüfte die Funde mit TruffleHog. Dazu gehörten die eigenen AWS-Zugriffsschlüssel der Opfer, Entra-ID-Client-Geheimnisse und Okta-Client-Zugangsdaten.

Außerdem kopierte der Eindringling Daten aus S3: Er holte, was immer ein erreichbarer Bucket enthielt, und lud in manchen Sitzungen einen ganzen Bucket auf einmal herunter.

Eine separate Kampagne mit Zugriffsschlüsseln

Qubole lässt Kunden auch eine Verbindung mit AWS-Zugriffsschlüsseln statt über eine Rolle zu. Zwischen dem 8. und dem 11. Oktober nutzte ein Angreifer die eigenen Zugriffsschlüssel der Kunden, die nach Einschätzung der Forscher für Qubole eingerichtet worden waren, und kompromittierte mehrere Cloud-Umgebungen der Opfer. Die Forscher haben diese Aktivität nicht mit dem AssumeRole-Missbrauch verknüpft.

Auch mit anderen öffentlich bekannten Aktivitäten haben sie die Kampagne nicht in Verbindung gebracht. Die Auswahl der Ziele ähnele nicht dem, was staatlich gestützte Gruppen typischerweise verfolgen, heißt es.

Was betroffene Organisationen prüfen sollten

Wiz rät jeder Organisation, die Qubole mit AWS verbunden hat, auch wenn sie es nicht mehr nutzt, ihre CloudTrail-Protokolle ab dem 1. Oktober zu prüfen. Ein Warnzeichen ist eine AssumeRole-Anfrage des Kontos 805246085872, über das die Plattform von Qubole läuft, die von einer Adresse außerhalb von AWS stammt.

The Hacker News, das den Bericht weitergab, nannte nicht, ob die Zugangsdaten inzwischen deaktiviert wurden oder die Aktivität beendet ist. Als das Medium nachsah, hatten weder Qubole noch Idera eine Stellungnahme zu dem Angriff veröffentlicht.

Offene Fragen

• Wie erlangte der Angreifer die Zugangsdaten des mit Qubole verbundenen AWS-Kontos?
• Wurden die kompromittierten Zugangsdaten deaktiviert, und ist die Aktivität beendet?