if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants ont exploité les rôles IAM entre comptes pour accéder aux environnements AWS des clients, voler des données et collecter des informations d’identification pour plusieurs services cloud.
endif; ?>
Un attaquant a abusé des rôles IAM entre comptes AWS pour accéder à plusieurs environnements clients, voler des données et collecter des informations d’identification lors d’une attaque de chaîne d’approvisionnement qui s’est déroulée entre le 14 et le 26 octobre.
Des chercheurs de Wiz, en collaboration avec Sentra et Mandiant, ont déclaré avoir observé un attaquant utilisant les informations d’identification IAM du compte AWS de Qubole pour assumer des rôles dans les environnements clients.
Les informations d’identification compromises ont permis à l’attaquant d’accéder aux comptes AWS des clients qui avaient précédemment établi des autorisations d’accès entre comptes avec Qubole. L’accès a été utilisé pour énumérer les ressources cloud, récupérer des secrets et des données de configuration, télécharger des fichiers depuis Amazon S3 et tester les informations d’identification appartenant aux organisations concernées.
Sentra, qui a initialement identifié des activités suspectes dans plusieurs environnements clients, a déclaré que la campagne avait touché des dizaines de clients Qubole. L’attaquant aurait exploité des intégrations restées fiables même après que certaines organisations aient cessé d’utiliser la plateforme.
Les attaquants ont utilisé les informations d’identification AWS de Qubole
Les intégrations Qubole s’appuient sur des rôles de gestion des identités et des accès (IAM) entre comptes. Les clients créent généralement des rôles qui permettent aux identités appartenant au compte AWS de Qubole de les assumer, avec un identifiant externe servant de contrôle supplémentaire contre les accès non autorisés.
L’attaquant disposait d’informations d’identification susceptibles de satisfaire à cette exigence.
Wiz a déclaré que la première activité suspecte a été observée le 14 octobre, lorsqu’une adresse IP associée à Mullvad VPN a tenté d’assumer les rôles d’intégration client à partir du compte AWS 805246085872, que Qubole utilise pour ses opérations de plateforme. Les requêtes utilisaient un utilisateur IAM identifié comme AIDA3W7DIFLYOLTK63SFS.
La plupart des activités ultérieures provenaient d’un VPS hébergé chez OVH, 57.129.54(.)120. L’attaquant a également commencé à utiliser une deuxième identité IAM associée au compte AWS de Qubole le 18 octobre, ainsi qu’une autre adresse VPN Mullvad.
Toutes les demandes malveillantes de prise de rôle identifiées par Wiz incluaient l’ID externe requis et ont réussi. De nombreux rôles ciblés n’avaient constaté aucune activité légitime de Qubole en octobre, mais leurs autorisations restaient actives.
Après avoir obtenu l’accès, l’attaquant a énuméré les ressources cloud, notamment les compartiments S3, les bases de données, les instances EC2, les groupes de sécurité et les identités IAM. L’intrus a également accédé aux configurations des fonctions AWS Secrets Manager, Systems Manager Parameter Store et Lambda pour récupérer des informations d’identification et d’autres informations sensibles.
Les attaquants ont volé des données et hébergé une image Linux suspecte
L’attaquant a utilisé les rôles assumés pour télécharger des données depuis Amazon S3, en énumérant les compartiments et les objets accessibles avant de récupérer leur contenu. Dans certains cas, a déclaré Wiz, des compartiments entiers ont été téléchargés au cours de sessions individuelles.
Les informations d’identification découvertes dans les environnements compromis ont ensuite été testées à l’aide de TruffleHog, un outil d’analyse des secrets. Ceux-ci comprenaient les clés d’accès AWS, les informations d’identification du principal du service Microsoft Entra ID et les informations d’identification du client Okta OAuth.
Sentra a signalé avoir identifié plus de 100 mots de passe et clés lus en quelques minutes, ainsi que des milliers d’informations d’identification supplémentaires contenues dans les fichiers téléchargés. La société a également déclaré que l’attaquant n’avait effectué aucune opération d’écriture dans les environnements observés, suggérant une opération axée sur le vol de données.
Wiz a également trouvé une image ISO Linux bootable, nommée « sso_agent.iso », hébergée sur l’infrastructure OVH de l’attaquant. L’image collecte des informations système, communique avec le serveur via le port TCP 23458 et peut exécuter des commandes shell fournies à distance. Sa configuration suggère qu’il pourrait avoir été conçu pour cibler les systèmes Windows, ont indiqué les chercheurs dans un article de blog.
Wiz, cependant, n’a trouvé aucun déploiement de l’image et n’a pas pu confirmer si elle avait été utilisée contre des victimes.
La campagne n’a pas été attribuée à un groupe menaçant connu.
Le renforcement des intégrations et de l’accès des tiers aidera
Wiz recommande aux organisations utilisant Qubole d’examiner les enregistrements AWS CloudTrail remontant au 1er octobre 2026 sur tous les comptes contenant des rôles d’intégration. Les enquêteurs doivent rechercher toute activité suspecte d’AssumeRole provenant du compte AWS de Qubole, en particulier les demandes émanant d’une infrastructure non AWS et d’identités IAM identifiées dans la divulgation.
Les activités ultérieures impliquant Secrets Manager, Parameter Store, Lambda et S3 devraient également faire l’objet d’une enquête, a noté Wiz. D’autres recommandations incluent la suppression des intégrations tierces inutilisées et la limitation des politiques de confiance à des principaux IAM de fournisseurs spécifiques plutôt que de permettre à un compte AWS externe entier d’assumer un rôle. Les organisations doivent également limiter l’attribution de rôles aux plages de réseaux de fournisseurs documentées à l’aide des conditions d’adresse IP source AWS ou de point de terminaison d’un VPC.
