თავდამსხმელებმა AWS-ის სანდო ინტეგრაციები უკანა კარად გამოიყენეს მონაცემების მოსაპარად

Qubole ღრუბლოვანი მონაცემების დამუშავების პლატფორმაა. ის მომხმარებელთა AWS გარემოებში გამოთვლითი რესურსებისა და საცავების სამართავად ანგარიშებს შორის IAM როლებს იყენებს, რის გამოც მომხმარებლებს AWS-ზე ხანგრძლივი წვდომის გასაღებების გადაცემა არ სჭირდებათ. მიწოდების ჯაჭვზე თავდასხმისას ბოროტად გამოიყენეს მესამე მხარის ეს ნდობის კავშირი ანგარიშებს შორის.

Google-ის ღრუბლოვანი უსაფრთხოების კომპანია Wiz-მა არ გვიპასუხა, რამდენი ორგანიზაცია დაზარალდა, თუმცა შემთხვევას „ფართო, შემთხვევითი შერჩევის პრინციპით განხორციელებული მიწოდების ჯაჭვის კამპანია“ უწოდა, რომელმაც მომხმარებელთა „მრავალი“ გარემო დააზიანა.

მკვლევრებმა The Register-ის კითხვებზე ელფოსტით გაგზავნილ პასუხში დაწერეს, რომ ბევრი ორგანიზაცია პლატფორმის გამოყენების შეწყვეტის შემდეგაც ტოვებდა ნდობის პოლიტიკას აქტიურს. ამის გამო თავდამსხმელმა ინტეგრაციის როლები წარმატებით მიითვისა, ღრუბლოვანი რესურსები აღრიცხა, საიდუმლო მონაცემები მოიპოვა და ინფორმაცია გაიტანა.

AWS-სა და Qubole-ს The Register-ის შეკითხვებზე პასუხი არ გაუციათ.

Wiz-მა, Google-ის Mandiant-ის ინციდენტებზე რეაგირების სპეციალისტებთან ერთად, მავნე მოქმედებების კვალს 14 ოქტომბრამდე მიაკვლია. მანამდე ხელოვნური ინტელექტის მონაცემთა უსაფრთხოების კომპანია Sentra-მ საეჭვო აქტივობის შესახებ შეატყობინა. 14 ოქტომბერს Qubole-ის AWS ანგარიშთან დაკავშირებული მონაცემებით sts:AssumeRole API-ს დაუკავშირდნენ და მომხმარებლების მიერ მართული ინტეგრაციის როლებისთვის დროებითი წვდომის მონაცემები მიიღეს.

Wiz-ის ანალიტიკოსების, ზაკ მოროუს, შონ ჯონსტოუნისა და ბენჯამინ რიდის თქმით, მოთხოვნები Qubole-ის AWS ანგარიშიდან, 805246085872-დან, განხორციელდა და IAM მომხმარებლის ID AIDA3W7DIFLYOLTK63SFS გამოიყენეს. ეს მათ ორშაბათს მიწოდების ჯაჭვზე თავდასხმის შესახებ გამოქვეყნებულ ბლოგში დაწერეს. სამეულმა აღნიშნა, რომ დაზარალებულ გარემოებში Wiz CIRT-ს ეს IAM მომხმარებელი ამ საფრთხის მოქმედ პირთან დაკავშირებული აქტივობის გარდა სხვაგან არ შეუნიშნავს.

ეს მოქმედებები 15 ოქტომბერსაც გაგრძელდა. 18 ოქტომბერს ციფრულმა თავდამსხმელებმა იმავე ანგარიშის მეორე IAM მომხმარებლის გამოყენება დაიწყეს.

მომხმარებელთა გარემოებში შეღწევის შემდეგ, დამნაშავეებმა AWS-ის უამრავი სერვისის შემოწმება და Lambda-ში, Secrets Manager-სა და SSM Parameter Store-ში შენახული მონაცემების, გასაღებებისა და სხვა საიდუმლო ინფორმაციის მოპარვა დაიწყეს.

თავდამსხმელებმა TruffleHog-იც გამოიყენეს მსხვერპლი ორგანიზაციების AWS მონაცემების შესამოწმებლად, მათი Microsoft Entra ID-ის საიდუმლო მონაცემების მოსაძებნად და Okta-ს კლიენტის მონაცემებით OAuth ტოკენების გამოსათხოვად. ეს მონაცემებიც AWS გარემოების დაზვერვისას აღმოაჩინეს.