Aanvallers gebruikten gelekte AWS IAM-credentials van Qubole om data van meer dan twaalf organisaties te stelen via cross-account toegang.
Cybercriminelen hebben via gecompromitteerde IAM-credentials van een AWS-account gekoppeld aan het big-data platform Qubole data gestolen van meer dan twaalf organisaties. De aanvallers maakten misbruik van cross-account IAM-rollen die klanten voor Qubole hadden ingesteld, waardoor zij toegang kregen tot de AWS-omgevingen van deze organisaties.
Cross-account IAM-rollen zijn gebruikelijk bij SaaS-platforms die binnen de AWS-omgevingen van klanten opereren. Tijdens het onboardingproces creëren klanten een rol voor Qubole, die het platform via een External ID kan aannemen wanneer dat nodig is. De gelekte credentials stelden de dreigingsactor in staat deze rollen over te nemen en zo data te exfiltreren uit de AWS-omgevingen van meer dan twaalf bedrijven. Volgens cybersecuritybedrijf Sentra waren de gebruikte rollen al lang actief, ook nadat organisaties waren gestopt met het gebruik van Qubole. Deze rollen hadden leesrechten op vrijwel alle data die de aanvaller heeft buitgemaakt.
De aanvalscampagne begon op 14 oktober en duurde tot 26 oktober. Gedurende deze periode werden resources geïnventariseerd, geheimen en configuraties verzameld en data benaderd. De aanvallen vonden plaats vanaf een gehuurde OVH-server en via de Mullvad VPN, waarbij geen activiteit vanuit het netwerk van Qubole zelf werd waargenomen, aldus Sentra.
Volgens Wiz, dat de campagne samen met Sentra analyseerde, gebruikten de aanvallers consistente rol-sessienamen met de prefix 'quiam-', gevolgd door een suffix die de uitgevoerde acties beschreef, zoals 'quiam-enum' en 'quiam-scope-full'. Na de inventarisatie werden geheimen uit veelgebruikte AWS-opslaglocaties verzameld en met TruffleHog getest. Vervolgens werd data uit S3-buckets van de slachtoffers geëxfiltreerd. De aanvallers waren opportunistisch en lazen data uit alle buckets waar de rollen toegang toe hadden, soms werden complete buckets in één sessie gedownload.
Daarnaast identificeerde de cybersecurityfirma een ISO-bestand dat bedoeld was om op afstand te worden opgestart op systemen van slachtoffers om data te verzamelen, maar er is geen bewijs dat dit bestand daadwerkelijk is ingezet. Wiz heeft geen verband gevonden tussen deze campagne en andere publiekelijk gerapporteerde aanvallen. De aanval lijkt opportunistisch van aard en sluit niet aan bij typische prioriteiten van door staten gesteunde aanvallers. De motivatie en het verdere gebruik van de gestolen data zijn onbekend.
Wiz ontdekte ook een aparte campagne met Qubole-integraties, actief tussen 8 en 11 oktober, waarbij klant-eigen AWS-toegangssleutels werden getest op slachtofferomgevingen en in sommige gevallen werden gebruikt voor compromittering.
