חוקרי Wiz מדווחים על תקיפה שבה נעשה שימוש בחשבון AWS שQubole משתמשת בו כדי לגשת לסביבות הלקוחות שלה. התוקף קרא סודות ונתונים מכמה חשבונות. אם יש לך תפקיד (IAM role) שסומך על Qubole — כדאי לבדוק עכשיו.
הפרטים
לפי Wiz, בין 14 ל-26 באוקטובר 2026 התוקף הפעיל AssumeRole מול תפקידי IAM של לקוחות, עם External ID תקין בכל בקשה. כיצד הושגו האישורים של חשבון Qubole לא פורסם. בחשבונות שנבדקו נקראו משתני סביבה של Lambda, Secrets Manager ו-SSM Parameter Store, והתוקף בדק את האישורים שמצא בעזרת TruffleHog. נתוני S3 הועתקו, לעיתים דלי שלם.
החוקרים לא קשרו את הפעילות לקבוצה מוכרת. בנפרד, ב-8 עד 11 באוקטובר נעשה שימוש במפתחות גישה של לקוחות עצמם; לא נקבע קשר בין האירועים. Qubole (בבעלות Idera) לא פרסמה הודעה נכון למועד הדיווח, וכמה קורבנות חסרו לוגים שיאפשרו לדעת אילו אובייקטים נקראו.
נקודות לשים לב
- בדוק ב-CloudTrail מ-1 באוקטובר אירועי
AssumeRoleמחשבון 805246085872 ממקור שאינו AWS, ושמות סשן המתחילים ב-quiam-. - אם תפקיד נלקח: סובב סודות, פרמטרים ומשתני סביבה שהוא יכול היה לקרוא, וגם בטל סשנים פעילים — סיבוב אישורים לא מבטל סשנים שכבר הונפקו.
- הסר תפקידים שאינם בשימוש, והגבל את
AssumeRoleבעזרתaws:SourceIpאוaws:SourceVpce. לפי Wiz, תנאי כתובת מקור לבדו היה חוסם כל הלקיחות שנצפו. - אל תתייחס ל-External ID כסוד — הוא גלוי ב-CloudTrail.
- הפעל לוגי גישה לנתוני S3 בדליים רגישים; בלעדיהם אי אפשר לקבוע מה נגנב.
מקורות: Wiz · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
