Seorang peretas menyusup ke akun AWS milik sejumlah pelanggan Qubole antara tanggal 14 Oktober hingga 26 Oktober, lalu menjarah rahasia tersimpan beserta berbagai data penting, ungkap perusahaan keamanan komputasi awan Wiz hari ini.
Pelaku kejahatan siber memanfaatkan kredensial resmi milik akun AWS yang biasa dipakai platform Qubole untuk terhubung langsung dengan para pelanggannya tersebut. Namun, metode terperinci mengenai bagaimana pelaku memperoleh kredensial khusus itu hingga kini belum diungkapkan kepada publik.
Qubole, penyedia layanan data lake yang kini bernaung di bawah kepemilikan Idera, beroperasi langsung di dalam lingkungan akun AWS milik masing-masing pelanggan. Agar sistem dapat masuk, pelanggan membuat sebuah IAM role, yaitu entitas identitas AWS yang dibekali seperangkat hak akses tertentu.
Kebijakan kepercayaan pada role tersebut mengizinkan akun AWS milik Qubole untuk mengasumsikan role, sehingga seluruh wewenang komputasi langsung diberikan. Setiap permintaan pengalihan wewenang ini, yang dikenal sebagai AssumeRole, wajib menyertakan kode pencocokan unik dari Qubole yang dinamai External ID.
Terlepas dari adanya insiden serangan tersebut, sebagian besar role yang diambil alih pelaku sebenarnya sudah lama tidak aktif digunakan, menurut temuan para peneliti Wiz. Kendati demikian, setiap role itu masih menaruh kepercayaan penuh pada akun Qubole, sehingga rangkaian permintaan penyusup tetap berhasil diproses.
Semua organisasi yang pernah menghubungkan platform Qubole ke ekosistem AWS mereka, termasuk entitas yang sudah berhenti menggunakan layanannya, diimbau segera meninjau log CloudTrail terhitung sejak 1 Oktober dan seterusnya. Indikasi mencurigakan yang perlu dicari adalah panggilan AssumeRole yang berasal dari akun platform Qubole, yakni 805246085872, yang masuk melalui alamat IP dari luar jaringan internal AWS.
Pihak peneliti tidak memaparkan apakah kredensial bermasalah tersebut kini sudah dinonaktifkan atau apakah operasi siber tersebut telah sepenuhnya terhenti. Baik pihak Qubole maupun Idera belum merilis pengumuman resmi apa pun terkait pembobolan ini di situs web mereka ketika The Hacker News melakukan pengecekan hari ini.
Penyebab Role Mengizinkan Penyerang Masuk
Setiap panggilan AssumeRole yang terhubung dengan aktor ancaman ini selalu menyertakan External ID valid sehingga langsung diterima oleh sistem, demikian penjelasan tim peneliti dalam laporan analisis teknis mereka.
AWS memproses permintaan AssumeRole untuk role semacam itu apabila panggilan datang dari akun yang tepercaya dan memuat External ID yang benar. Karakter pengenal ini tidak diposisikan sebagai rahasia mutlak, dan siapa saja yang memiliki akses ke role bersangkutan dapat melihatnya secara terbuka, berdasarkan pedoman resmi external ID dari AWS.
Perusahaan Sentra pertama kali mengidentifikasi kejanggalan aktivitas mencurigakan ini pada lingkungan komputasi milik beberapa pelanggan mereka, kemudian segera meneruskan peringatan penting tersebut kepada para peneliti.
Di dalam akun-akun yang diperiksa peneliti, peretas berfokus memburu kredensial yang tersimpan di sistem. Aktor ini membaca seluruh variabel lingkungan pada fungsi Lambda, menyedot aneka rahasia dari Secrets Manager, dan meneliti nilai parameter di SSM Parameter Store.
Selanjutnya, peretas menguji kredensial temuan itu menggunakan perkakas TruffleHog untuk memastikan keaktifannya. Berkas yang disasar mencakup access key AWS milik para korban, rahasia klien Entra ID, serta kredensial otentikasi Okta.
Pelaku juga menguras data keluar dari penyimpanan S3. Mereka mengambil data dari keranjang apa pun yang bisa dimasuki role alih-alih mencari berkas tertentu, bahkan terkadang mengunduh seluruh isi keranjang dalam satu sesi.
Para peneliti belum menemukan keterkaitan kampanye ini dengan insiden lain yang pernah dilaporkan secara terbuka, seraya menilai pola penargetan ini tidak mencerminkan karakteristik kelompok peretas bentukan negara.
Qubole juga memfasilitasi pelanggan untuk tersambung menggunakan access key AWS murni tanpa role. Pada 8 Oktober hingga 11 Oktober, peretas menggunakan access key AWS milik pelanggan itu sendiri, yang diyakini sengaja disiapkan khusus untuk integrasi Qubole.
Peretas tersebut kemudian berhasil mengompromikan beberapa lingkungan komputasi awan milik korban. Aktivitas terpisah ini sejauh ini belum terbukti memiliki kaitan langsung dengan eksploitasi AssumeRole.
Langkah Memeriksa Akun Anda
Panduan investigasi dari Wiz mencakup pemeriksaan log CloudTrail sejak 1 Oktober ke depan pada seluruh akun AWS yang menyimpan role Qubole. Waspadai tanda-tanda berikut:
Untuk setiap sesi yang mencurigakan, periksa seluruh tindakan yang dilakukan setelahnya secara saksama, terutama rekam jejak pada Secrets Manager, SSM Parameter Store, Lambda, dan S3.
Catatan CloudTrail management events merekam tiap permintaan AssumeRole dan daftar isi keranjang, namun tidak mendata objek S3 mana yang dibaca. Hal itu membutuhkan aktivasi S3 data events atau log akses server S3. Beberapa korban tidak mengaktifkan log yang dibutuhkan, sehingga investigator tidak bisa memastikan objek mana saja yang telah dibaca pelaku.
Cara Menutup Celah Akses
Para peneliti menyarankan sejumlah langkah mitigasi berikut: