Aanvaller misbruikt Qubole-account voor toegang tot AWS-omgevingen van klanten

Dat meldt beveiligingsbedrijf Wiz, dat samenwerkte met Sentra en Mandiant. Sentra zag de verdachte activiteit als eerste, herkende die als een brede supplychainaanval en deelde de bevindingen met Wiz, dat de resultaten op 9 november publiceerde. Klanten van saas-platforms stellen bij de onboarding doorgaans een IAM-rol in die het AWS-account van de leverancier mag overnemen, met een External ID als extra voorwaarde. De aanvaller maakte daar gebruik van: elk verzoek dat Wiz aan hem toeschrijft bevatte een External ID en slaagde. In de meeste onderzochte omgevingen was de rol verder ongebruikt, zodat het verzoek van de aanvaller daar de enige overname vanuit het leveranciersaccount in oktober was. Het verkeer kwam via Mullvad VPN en een VPS bij OVH, met sessienamen die met quiam- beginnen.

Geheimen verzameld, data gedownload

Eenmaal binnen bekeek de aanvaller opslag, rekenkracht, databases, rollen en sleutels. Hij las omgevingsvariabelen van Lambda-functies, Secrets Manager en SSM Parameter Store en testte gevonden inloggegevens met TruffleHog, onder meer voor AWS, Entra ID en Okta. Uit S3 downloadde hij wat een rol kon bereiken, soms hele buckets in één sessie. Wiz denkt dat hij opportunistisch te werk ging. Welke objecten zijn gelezen, is alleen te zien met S3-data-events of serverlogs; in meerdere omgevingen ontbraken die, waardoor onderzoekers dat niet konden achterhalen.

Op het OVH-adres vond Wiz via Validin ook een opstartbaar Linux-image genaamd sso_agent.iso. Deze image draait 90 minuten, stuurt systeemgegevens naar de server, voert ontvangen opdrachten uit als shellscript en herstart daarna, waardoor sporen verdwijnen. Het laden van het ntfs3-stuurprogramma wijst op Windows-systemen.

Opvallend is dat ook tussen 8 en 11 oktober criminele activiteiten zijn waargenomen rondom Qubole-koppelingen met sleutels van klanten. Een verband tussen de twee aanvallen lijkt er vooralsnog niet te zijn.

Wat organisaties kunnen doen

Organisaties met een Qubole-koppeling moeten volgens Wiz CloudTrail vanaf 1 oktober doorzoeken op rolovernames vanuit account 805246085872 met een bron-IP buiten AWS, op activiteit van IAM-gebruiker AIDA3W7DIFLYOLTK63SFS en op gebruik van AIDAJYRRH5Y3A7AAJM2HW vanaf niet-AWS-adressen. Ook verkeer van het OVH-adres 57.129.54.120 en GetCallerIdentity-aanroepen met een TruffleHog-user-agent verdienen onderzoek. Bij een overgenomen rol moeten alle bereikbare geheimen worden vervangen en actieve sessies worden ingetrokken, omdat roteren al uitgegeven sessies niet beëindigt.

Structureel adviseert Wiz ongebruikte integratierollen te verwijderen, het vertrouwen te beperken tot de specifieke IAM-identiteit van de leverancier en een voorwaarde op bron-IP of VPC-endpoint toe te voegen, die volgens het bedrijf elke waargenomen overname had geblokkeerd. De External ID is niet geheim, omdat die leesbaar in CloudTrail staat. Saas-aanbieders krijgen het advies klantrollen met kortlevende gegevens over te nemen en hun uitgaande IP-bereiken te publiceren.