Tấn công chuỗi cung ứng đánh cắp bí mật qua tích hợp AWS
"Attackers exploited compromised IAM credentials from Qubole's AWS account to gain access to customer AWS environments. They utilized cross-account IAM roles to steal secrets from S3 buckets, Lambda functions, Secrets Manager, and SSM Parameter Store. Mitigation involves credential rotation, reviewing CloudTrail logs for suspicious AssumeRole events originating from Qubole's account (805246085872), and revoking active role sessions."
Vụ việc cho thấy lỗ hổng chuỗi cung ứng có thể dẫn đến đánh cắp bí mật và mất dữ liệu nghiêm trọng. Các tổ chức cần đặc biệt chú ý đến quản lý quyền truy cập và giám sát hoạt động bất thường.
Sự cố này có thể gây gián đoạn hoạt động, tổn thất tài chính và mất uy tín cho các doanh nghiệp bị ảnh hưởng. Việc khắc phục và điều tra sự cố cũng tốn kém. Bảo mật chuỗi cung ứng là yếu tố quan trọng.
Wiz vừa phát hiện một chiến dịch tấn công chuỗi cung ứng, kẻ tấn công lợi dụng quyền truy cập trái phép vào tài khoản AWS của Qubole để xâm nhập môi trường AWS của khách hàng. Chúng sử dụng các vai trò IAM (Identity and Access Management - Quản lý danh tính và truy cập) liên tài khoản để đánh cắp bí mật từ S3 buckets, Lambda functions, Secrets Manager và SSM Parameter Store.
Qubole là nền tảng xử lý dữ liệu đám mây, sử dụng vai trò IAM liên tài khoản để quản lý tính toán và truy cập lưu trữ trong môi trường AWS của khách hàng mà không cần khách hàng cung cấp khóa truy cập AWS dài hạn. Kẻ tấn công đã lợi dụng mối quan hệ tin cậy liên tài khoản này.
Wiz không tiết lộ số lượng tổ chức bị ảnh hưởng, nhưng mô tả đây là một chiến dịch “rộng rãi, tận dụng chuỗi cung ứng” nhắm vào “nhiều” môi trường khách hàng. Các nhà nghiên cứu cho biết nhiều tổ chức vẫn giữ nguyên các chính sách tin cậy ngay cả sau khi ngừng sử dụng nền tảng, tạo điều kiện cho kẻ tấn công giả mạo vai trò tích hợp, liệt kê tài nguyên đám mây, thu thập bí mật và đánh cắp dữ liệu.
Wiz, phối hợp với Mandiant của Google, đã truy vết hoạt động độc hại từ ngày 14 tháng 10, khi thông tin xác thực liên quan đến tài khoản AWS của Qubole (805246085872) được sử dụng để gọi API sts:AssumeRole để có được thông tin xác thực tạm thời cho các vai trò tích hợp do khách hàng quản lý. Kẻ tấn công tiếp tục hoạt động vào ngày 15 và 18 tháng 10, sử dụng một IAM user khác từ cùng tài khoản. Sau khi xâm nhập, chúng đã thăm dò nhiều dịch vụ AWS và đánh cắp thông tin xác thực, khóa và bí mật từ Lambda, Secrets Manager và SSM Parameter Store. Chúng còn sử dụng TruffleHog để kiểm tra thông tin xác thực AWS, khám phá bí mật Microsoft Entra ID và yêu cầu token OAuth bằng thông tin xác thực Okta.
Kẻ tấn công cũng đã đánh cắp dữ liệu từ S3, nhưng có vẻ như chúng chủ yếu khai thác cơ hội, tải xuống toàn bộ bucket thay vì nhắm mục tiêu dữ liệu cụ thể. Hiện tại, chưa rõ ai đứng sau cuộc tấn công này và dữ liệu bị đánh cắp được sử dụng như thế nào. Wiz cũng phát hiện một chiến dịch riêng biệt từ ngày 8 đến 11 tháng 10, sử dụng khóa truy cập AWS của khách hàng cho tích hợp Qubole, nhưng chưa thể kết nối chắc chắn với chiến dịch trước.
Các tổ chức tích hợp với Qubole nên xoay vòng thông tin xác thực. Xem lại CloudTrail từ ngày 1 tháng 10, tìm các sự kiện AssumeRole với userIdentity.accountId khớp với ID tài khoản AWS của Qubole (805246085872), đặc biệt từ các địa chỉ IP không phải AWS. Xem xét tất cả hoạt động sau mỗi phiên, đặc biệt là Secrets Manager, SSM Parameter Store, Lambda và S3. Nếu kẻ tấn công đã giả mạo vai trò tích hợp, hãy xoay vòng mọi bí mật, tham số và biến môi trường Lambda mà vai trò có thể đọc, đồng thời thu hồi các phiên hoạt động.
Câu hỏi thường gặp
Qubole là gì?
Qubole là một nền tảng xử lý dữ liệu đám mây sử dụng vai trò IAM liên tài khoản để quản lý tính toán và truy cập lưu trữ trong môi trường AWS của khách hàng.
IAM role liên tài khoản là gì?
IAM role liên tài khoản cho phép một tài khoản AWS truy cập tài nguyên trong một tài khoản AWS khác mà không cần chia sẻ thông tin xác thực dài hạn.
Kẻ tấn công đã làm gì sau khi xâm nhập?
Kẻ tấn công đã thăm dò các dịch vụ AWS, đánh cắp thông tin xác thực, khóa và bí mật từ Lambda, Secrets Manager và SSM Parameter Store, đồng thời đánh cắp dữ liệu từ S3.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ việc này cho thấy rủi ro tiềm ẩn khi sử dụng tích hợp của bên thứ ba với các dịch vụ đám mây. Các doanh nghiệp Việt Nam nên kiểm tra kỹ các quyền truy cập được cấp cho các tích hợp này và thường xuyên xoay vòng thông tin xác thực. Điều đáng chú ý là việc giám sát các sự kiện AssumeRole trong CloudTrail có thể giúp phát hiện sớm các hoạt động đáng ngờ.