گزارش‌های فنی اخیر نشان می‌دهد که یک عامل تهدید بین ۱۴ تا ۲۶ اکتبر، به حساب‌های AWS چندین مشتری پلتفرم Qubole نفوذ کرده و موفق به سرقت داده‌ها و اسرار (Secrets) ذخیره‌شده در این محیط‌ها شده است.
مکانیزم حمله و سوءاستفاده از Trust Relationship
این حمله از طریق دسترسی به اعتبارنامه‌های (Credentials) حساب AWS پلتفرم Qubole صورت گرفته است. پلتفرم Qubole برای مدیریت داده‌های مشتریان، در محیط AWS آن‌ها فعالیت می‌کند. برای ایجاد این دسترسی، مشتریان یک IAM role تعریف می‌کنند که به حساب AWS شرکت Qubole اجازه می‌دهد از طریق مکانیزم AssumeRole، این نقش را بر عهده گرفته و از مجوزهای تعریف‌شده استفاده کند.
برای تأیید این درخواست‌ها، از یک کد شناسایی به نام External ID استفاده می‌شود. تحلیل‌ها نشان می‌دهد که مهاجم با داشتن اعتبارنامه‌های Qubole و External IDهای مربوطه، توانسته است به نقش‌های مختلف در حساب‌های مشتریان دسترسی پیدا کند؛ حتی در مواردی که این نقش‌ها مدت‌ها بود مورد استفاده قرار نگرفته بودند اما همچنان رابطه‌ی اعتماد (Trust Relationship) با حساب Qubole داشتند.
تحلیل فعالیت‌های مهاجم در محیط قربانی
پس از نفوذ به حساب‌ها، عامل تهدید بر روی شناسایی و استخراج اعتبارنامه‌های حساس تمرکز کرده است. اقدامات شناسایی شده عبارتند از:
- بررسی متغیرهای محیطی (Environment Variables) در توابع Lambda.
- استخراج اسرار از Secrets Manager.
- خواندن مقادیر از SSM Parameter Store.
مهاجم برای تست صحت اعتبارنامه‌های به‌دست‌آمده (شامل AWS access keys، اسرار Entra ID و اعتبارنامه‌های Okta)، از ابزار TruffleHog استفاده کرده است. علاوه بر این، داده‌های موجود در S3 buckets به صورت گسترده کپی و خارج شده‌اند؛ به طوری که در برخی موارد، کل یک Bucket در یک نشست (Session) دانلود شده است.
راهکارهای شناسایی و مقابله
سازمان‌هایی که از Qubole در محیط AWS خود استفاده کرده‌اند (حتی اگر در حال حاضر فعال نباشد)، باید لاگ‌های CloudTrail خود را از تاریخ اول اکتبر بررسی کنند. نشانه‌ی اصلی حمله، وجود درخواست‌های AssumeRole از حساب 805246085872 است که از آدرس‌هایی خارج از شبکه AWS ارسال شده باشند.
در صورت شناسایی نشست‌های مشکوک، بررسی دقیق فعالیت‌های بعدی در سرویس‌های Secrets Manager، SSM Parameter Store، Lambda و S3 ضروری است. لازم به ذکر است که رویدادهای مدیریتی CloudTrail، لیست کردن Bucketها را ثبت می‌کنند اما جزئیات اشیائی (Objects) که خوانده شده‌اند را ثبت نمی‌کنند؛ برای این منظور، فعال بودن S3 data events یا S3 server access logs الزامی است.
حملات موازی با Access Keys
تحلیل‌ها همچنین به یک فعالیت مجزا بین ۸ تا ۱۱ اکتبر اشاره دارد که در آن مهاجم به جای سوءاستفاده از AssumeRole، مستقیماً از AWS access keys خود مشتریان (که احتمالاً برای Qubole تنظیم شده بود) استفاده کرده تا به محیط‌های ابری نفوذ کند. این مورد به عنوان یک کمپین مجزا از سوءاستفاده از نقش‌های IAM شناسایی شده است.
