Qubole'nin AWS kimlik bilgileriyle müşterilerin bulut ortamlarına girildi

Bulut güvenliği şirketi Wiz, 9 Kasım’da yayımladığı analizde, bir saldırganın 14 ile 26 Ekim arasında veri işleme platformu Qubole ile ilişkili bir AWS hesabının IAM kimlik bilgilerini kullanarak birden fazla müşterinin AWS ortamına girdiğini açıkladı. Wiz’e göre saldırgan, müşterilerin Qubole’nin hesabına güvenmek üzere oluşturduğu IAM rollerini üstlendi, müşteri ortamlarında kaynakları listeledi, yapılandırmaları ve gizli bilgileri topladı, S3’teki verilere erişti ve bulduğu ek kimlik bilgilerini denedi. Wiz incelemeyi Sentra ve Mandiant ile birlikte yaptı. Wiz’e göre şüpheli etkinliği ilk olarak kendi müşteri ortamlarında Sentra fark etti ve bunun geniş çaplı bir tedarik zinciri saldırısı olduğunu anlayarak bilgiyi Wiz ile paylaştı.

Hesaplar arası erişim nasıl çalışıyor

Wiz’e göre Qubole gibi müşterinin AWS hesabı içinde çalışan birçok hizmet, hesaplar arası (cross-account) IAM rolleri kullanıyor. Müşteri kurulum sırasında kendi hesabında bir rol oluşturuyor ve bu rolün güven politikasında hizmet sağlayıcının AWS hesabının rolü üstlenmesine izin veriyor. Bu izin genellikle External ID adlı bir değerle sınırlandırılıyor. Hizmet sağlayıcının müşteri ortamında işlem yapması gerektiğinde, kendi hesabındaki bir kimlik rolün adresi ve External ID ile rolü üstleniyor ve müşterinin rolüyle sınırlı geçici kimlik bilgileri alıyor.

Saldırının seyri

Wiz’in olay müdahale ekibine göre ilk etkinlik 14 Ekim’de görüldü. O gün Mullvad VPN’e ait bir IP adresi, Qubole platformunun müşteri ortamlarında rol üstlenmek için kullandığı 805246085872 numaralı AWS hesabından, AIDA3W7DIFLYOLTK63SFS kimlikli IAM kullanıcısıyla müşteri ortamlarındaki entegrasyon rollerini üstlendi. Wiz’e göre etkilenen ortamlarda bu IAM kullanıcısı saldırganın etkinliği dışında hiç görülmedi. 15 Ekim’den itibaren etkinliğin çoğu OVH’de barındırılan bir sanal sunucudan geldi. Saldırgan 18 Ekim’de aynı hesaba ait ve Qubole platformunun AWS altyapısından gelen meşru trafiğini de taşıyan ikinci bir IAM kullanıcısını kullanmaya başladı. Aynı gün ikinci bir Mullvad adresi birden fazla kurbanın ortamında art arda rol üstlendi. Wiz’e göre saldırgana atfedilen bütün rol üstlenme isteklerinde External ID vardı ve hepsi başarılı oldu.

Wiz’e göre saldırganın üstlendiği rollerin çoğu başka bir amaçla kullanılmıyordu. Wiz’in incelediği ortamların çoğunda Ekim ayında hizmet sağlayıcının hesabından gelen tek rol üstlenme etkinliği saldırgana aitti. Güven politikaları hâlâ yerinde olduğu için istekler başarılı oldu.

Saldırgan ortamlara girdikten sonra S3 bucket’ları, veritabanları, sanal sunucular, ağ ayarları, IAM rolleri ve şifreleme anahtarları dahil birçok hizmette geniş bir keşif yaptı. Ardından kimlik bilgilerinin saklandığı yaygın yerleri hedef aldı. Lambda işlevlerinin ortam değişkenlerini, Secrets Manager’daki ve SSM Parameter Store’daki gizli bilgileri okudu. Wiz’e göre saldırgan bulduğu kimlik bilgilerinin geçerli olup olmadığını TruffleHog aracıyla denedi. Bunlar arasında kurbanlara ait AWS erişim anahtarları, Entra ID hizmet hesaplarının gizli anahtarları ve Okta istemci bilgileri vardı.

Saldırgan son olarak S3’ten veri indirdi. Wiz’e göre saldırgan belirli bir veriyi aramadı, her rolün ulaşabildiği bucket’lardan ne varsa okudu ve bazı oturumlarda bucket’ların tamamını indirdi. Wiz, CloudTrail’in yönetim kayıtlarının rol üstlenmeyi ve bucket listelemeyi gösterdiğini, ancak veri indirmeyi oluşturan nesne okumalarını göstermediğini, bunun için hassas veri tutan bucket’larda S3 veri olaylarının ya da sunucu erişim kayıtlarının açık olması gerektiğini belirtiyor.

Önyüklenebilir imaj ve ayrı bir etkinlik

Wiz, saldırganın kontrolündeki OVH adresinde aynı dönemde sso_agent.iso adlı bir dosyanın barındırıldığını da buldu. Wiz’e göre bu, bir kurban bilgisayarında uzaktan başlatılmak üzere tasarlandığı değerlendirilen önyüklenebilir bir Linux imajı. İmaj açıldığında 90 dakikalık bir sayaç başlatıyor, sistem bilgilerini topluyor ve ağ arayüzlerinin, disklerin ve disk bölümlerinin listesini bu adrese gönderiyor, ardından TCP 23458 portundan komut bekleyip gelen betikleri çalıştırıyor. Süre dolduğunda bilgisayar zorla yeniden başlatılıyor ve imajdan iz kalmıyor. Wiz’e göre imaj açılışta ntfs3 sürücüsünü yüklediği için Windows sistemlerini hedef alıyor olabilir. Wiz bu imajın kullanıldığı bir kurulum görmediğini ve kullanılıp kullanılmadığını doğrulayamadığını belirtiyor.

Wiz ayrıca Qubole entegrasyonlarıyla ilgili ayrı bir kötü amaçlı etkinlik daha gördü. 8 ile 11 Ekim arasında bir saldırgan, Wiz’in Qubole entegrasyonları için oluşturulduğunu düşündüğü, müşterilere ait AWS erişim anahtarlarını kullandı. Saldırgan 8 Ekim’de bu anahtarların hepsini bir saat içinde denedi ve az sayıda vakada kurbanın bulut ortamını ele geçirdi. Wiz bu etkinliği rol üstlenme saldırısıyla ilişkilendiremedi.

Atıf

Wiz bu kampanya ile kamuoyuna duyurulmuş başka bir etkinlik arasında bağ bulmadığını belirtiyor. Wiz’e göre hedef seçimi ve veri hırsızlığı fırsatçı görünüyor ve devlet destekli grupların tipik önceliklerine uymuyor, ancak saldırganın amacı ve çalınan verileri nasıl kullanacağı bilinmiyor. Saldırganın Qubole’nin kimlik bilgilerini nasıl ele geçirdiği açıklanmadı. Wiz’in yazısında Qubole’nin olaya ilişkin bir açıklamasına yer verilmiyor. The Hacker News’e göre 9 Kasım itibarıyla Qubole de şirketin sahibi Idera da internet sitelerinde saldırıyla ilgili bir açıklama yayımlamamıştı.

Önerilen önlemler

Wiz, Qubole ile entegrasyonu olan kurumların, entegrasyon rolü bulunan her hesapta 1 Ekim’den bu yana CloudTrail kayıtlarını şu etkinlikler için incelemesini öneriyor:

• 805246085872 numaralı hesaptan gelen ve kaynak adresi AWS’ye ait olmayan AssumeRole olayları.
• AIDA3W7DIFLYOLTK63SFS kimlikli IAM kullanıcısından gelen bütün AssumeRole olayları. Wiz’e göre bu kullanıcıyı yalnızca saldırgan kullandı.
• AIDAJYRRH5Y3A7AAJM2HW kimlikli IAM kullanıcısının kaynak adresi AWS’ye ait olmayan AssumeRole olayları. Bu kullanıcı meşru trafik de taşıdığı için kaynak adrese göre ayırmak gerekiyor.
• Aşağıdaki IP adreslerinden gelen her türlü etkinlik ve oturum adı quiam- ile başlayan rol oturumları.
• Bu IP adreslerinden TruffleHog kullanıcı ajanıyla yapılan GetCallerIdentity çağrıları. Wiz, aynı kullanıcı ajanının kimlik sağlayıcının oturum açma kayıtlarında da aranmasını öneriyor.

Wiz, saldırganın üstlendiği her rol için o rolün okuyabildiği bütün gizli bilgilerin, parametrelerin ve Lambda ortam değişkenlerinin değiştirilmesini ve rolün etkin oturumlarının iptal edilmesini öneriyor. Wiz’e göre kimlik bilgisini değiştirmek daha önce verilmiş geçici oturumları sonlandırmıyor. Daha genel öneriler şunlar:

• Dış hesaplara güvenen bütün IAM rollerini envanterleyin, artık kullanılmayan entegrasyon rollerini silin ya da güven politikalarından hizmet sağlayıcının hesabını çıkarın. Wiz’e göre kurbanların birçoğunun ortamında bu dönemde meşru hizmet sağlayıcı trafiği yoktu.
• Güven politikasında hesabın tamamı yerine hizmet sağlayıcının kullandığı belirli IAM kimliğine izin verin ve rol üstlenmeyi hizmet sağlayıcının belgelenmiş ağ adresleriyle sınırlayan koşullar ekleyin. Wiz’e göre yalnızca kaynak IP koşulu bile bu saldırıda görülen bütün rol üstlenme isteklerini engellerdi.
• External ID’yi gizli bir değer saymayın. Wiz’e göre bu değer CloudTrail’de düz metin olarak kayda geçiyor ve çoğu zaman hizmet sağlayıcıda ve altyapı kodunda saklanıyor.
• Entegrasyon rollerinin Lambda yapılandırmasına, Secrets Manager’a, SSM parametrelerine ve S3’e erişim yetkilerini en az yetki ilkesine göre daraltın.

Saldırı izleri

Wiz’in saldırgana atfettiği IP adresleri şunlar. Wiz’e göre Mullvad adresleri birçok kişinin kullandığı VPN çıkış noktaları olduğu için bu adreslerden gelen etkinlik tek başına kesin bir gösterge değil.

• 57.129.54[.]120 (OVH, 15 ile 26 Ekim arası, rol üstlenme, keşif ve kimlik bilgisi toplama için kullanılan ana adres, sso_agent.iso dosyasının barındırıldığı adres)
• 2001:41d0:70d[:]7800:: (OVH, 16 ile 24 Ekim arası, kimlik bilgilerinin listelenmesi ve denenmesi)
• 45.83.220[.]211 (Mullvad VPN, 14 ve 15 Ekim, rol üstlenme)
• 185.209.199[.]73 (Mullvad VPN, 18 ile 21 Ekim arası, rol üstlenme)
• 89.37.63[.]175 (Mullvad VPN, 25 Ekim, rol üstlenme)
• sso_agent.iso, SHA-256: 65f061281c9a712e9502793dc4c5035cae490b84da05f7d4223cefa65ad396e4