Seorang penyerang berhasil menembus akun AWS milik sejumlah pelanggan Qubole antara tanggal 14 Oktober hingga 26 Oktober, lalu menggondol data sensitif serta kredensial tersimpan, menurut laporan perusahaan keamanan cloud Wiz pada hari ini.
Pelaku kejahatan siber tersebut memanfaatkan kredensial akun AWS yang lazim dipakai platform Qubole guna menjangkau para kliennya. Bagaimana cara penyerang memperoleh rincian kredensial khusus itu sampai sekarang belum diungkapkan kepada publik.
Qubole, sebuah platform data lake milik Idera, beroperasi langsung di dalam lingkungan akun AWS kepunyaan para pelanggannya. Demi memberikan izin akses, pelanggan diwajibkan menyusun IAM role, yaitu sebuah entitas identitas AWS yang dibekali rangkaian izin tertentu.
Kebijakan kepercayaan pada role itu mengizinkan akun AWS Qubole mengambil alih role terkait, sehingga izin akses tersebut aktif. Seluruh permintaan tindakan ini, yang dinamakan AssumeRole, wajib menyertakan kode penyesuaian dari pihak Qubole yang dikenal sebagai External ID.
Selain dalam rangkaian aksi serangan ini, mayoritas role yang disusupi pelaku sejatinya sudah lama tidak difungsikan, menurut penjelasan para peneliti dari tim Wiz. Kendati demikian, tiap role tetap memercayai akun kepunyaan Qubole, membuat seluruh permintaan yang dikirimkan penyerang berjalan sukses.
Setiap entitas organisasi yang pernah menyambungkan Qubole ke layanan AWS, termasuk yang kini sudah tidak menggunakannya lagi, disarankan segera meneliti log CloudTrail mereka mulai 1 Oktober ke depan. Tanda utama yang mesti diwaspadai yaitu adanya permintaan AssumeRole dari ID akun platform Qubole, 805246085872, yang justru berasal dari luar jaringan alamat resmi AWS.
Pihak peneliti tidak membeberkan apakah kredensial bermasalah itu telah dinonaktifkan atau apakah rangkaian manuver peretasan tersebut telah berhenti secara total. Baik Qubole maupun pihak Idera sama sekali belum menerbitkan pernyataan resmi mengenai peristiwa ini ketika The Hacker News meninjau situs mereka hari ini.
Faktor Pemicu Kemudahan Penyerang Masuk ke Akun
Setiap operasi AssumeRole yang dikirimkan pelaku terbukti membawa External ID yang valid dan diterima sistem, demikian penuturan tim peneliti dalam analisis teknis resmi mereka.
Pihak AWS memang menyetujui panggilan AssumeRole pada role tersebut manakala asalnya dari akun tepercaya serta mengikutsertakan External ID yang sesuai. Kode pengenal ini bukanlah dokumen rahasia, di mana siapa pun pemegang hak peninjau role dapat melihatnya, merujuk panduan ID eksternal AWS.
Perusahaan Sentra pertama kali mengidentifikasi kejanggalan pada lingkungan beberapa klien mereka lalu lekas memberikan peringatan kepada tim peneliti.
Dalam rangkaian akun sasaran yang diteliti mendalam, penyerang terbukti memburu kredensial simpanan. Pelaku membaca variabel lingkungan di Lambda functions, menarik rahasia dari Secrets Manager, dan menambang data dari SSM Parameter Store.
Kredensial hasil rampasan itu kemudian diproses lewat utilitas TruffleHog untuk mengecek keabsahannya. Temuan itu mencakup access keys AWS internal korban, client secrets Entra ID, dan kredensial Okta.
Peretas pun menyalin muatan data keluar dari S3. Pelaku menjarah sembarang bucket yang terbuka bagi role itu alih-alih mencari berkas spesifik, bahkan terkadang mengunduh isi satu bucket penuh dalam satu sesi kerja.
Para peneliti belum menemukan keterkaitan operasi ini dengan peristiwa ancaman siber publik lainnya, serta menilai targetnya tidak mencerminkan karakteristik kelompok peretas negara.
Qubole mengizinkan integrasi memakai access keys AWS murni selain role. Antara 8 hingga 11 Oktober, peretas menggunakan access keys korban yang diduga dibuat untuk Qubole.
Pelaku tersebut membobol beberapa infrastruktur cloud korban. Peristiwa terpisah ini belum dihubungkan dengan eksploitasi AssumeRole.
Metode Memeriksa Keamanan Akun Anda
Rekomendasi Wiz mencakup pengecekan log CloudTrail semenjak 1 Oktober pada tiap akun AWS bersangkutan. Cermati hal berikut:
Tinjau seluruh riwayat sesi janggal, khususnya tindakan di Secrets Manager, SSM Parameter Store, Lambda, dan S3.
Log management CloudTrail merekam AssumeRole serta peninjauan daftar bucket, namun bukan pembacaan objek S3. Itu perlu data events S3 atau server access logs. Ketiadaan log pada korban menghalangi penyelidik memastikan data curian.
Langkah Menutup Celah Akses
Para analis merekomendasikan penanganan berikut:
