Visszaélés a megbízhatósággal
A Wiz kiberbiztonsági kutatói a Sentra és a Google Mandiant szakértőivel együttműködve olyan ellátásilánc-támadást tártak fel, amelyben a támadó a Qubole adatfeldolgozó platformhoz kapcsolódó Amazon Web Services (AWS)-hozzáféréseket használta fel ügyfelek felhőkörnyezetének kompromittálására. A 2026. október 14. és 26. között megfigyelt művelet több szervezetet érintett, és adatok, valamint hozzáférési adatok megszerzéséhez vezetett.
A támadás nem egy hagyományos szoftversérülékenység kihasználására épült. Az elkövető a Qubole AWS-fiókjához tartozó hozzáférési adatokat használva olyan jogosultságokat vett fel, amelyeket az ügyfelek korábban a szolgáltatónak biztosítottak. Az AWS IAM szerepkörökre épülő, fiókok közötti hozzáférés lehetővé tette, hogy a támadó az ügyfelek rendszereiben legitimnek tűnő jogosultságokkal végezzen műveleteket.
A megszerzett hozzáférésekkel az elkövető feltérképezte a felhőerőforrásokat, konfigurációs adatokat és titkos hozzáférési kulcsokat gyűjtött, valamint Amazon S3-tárolókból töltött le adatokat. Egyes esetekben teljes tárolók tartalmát megszerezte. A kinyert hitelesítő adatokat automatizált eszközökkel ellenőrizte, többek között AWS-, Microsoft Entra ID- és Okta-környezetekben, ami további rendszerek kompromittálásának lehetőségét is felvetette.
A kutatók egy különleges, Linux-alapú rendszerindító lemezképet is azonosítottak a támadói infrastruktúrán, amely távoli parancsvégrehajtásra és rendszerinformációk gyűjtésére volt alkalmas. Tényleges kihasználást nem sikerült igazolni. A vizsgálat különösen aggasztó megállapítása, hogy számos érintett szervezetnél a Qubole számára korábban létrehozott hozzáférések már nem szolgáltak aktív üzleti célt, mégis érvényben maradtak. A támadó ezeket is sikeresen kihasználhatta.
A szervezeteknek javasolt rendszeresen felülvizsgálni a külső szolgáltatóknak adott jogosultságokat, meg kell szüntetniük a már nem használt hozzáféréseket, és naplózással kell ellenőrizniük a külső fiókokból kezdeményezett műveleteket.
