Co się wydarzyło
Qubole, platforma data lake należąca do firmy Idera, działa w kontach AWS klientów przez role IAM, które ufają kontu dostawcy. Według Wiz atakujący miał dane uwierzytelniające do konta AWS samego Qubole i z niego przejmował role klientów (AssumeRole). Każde jego żądanie zawierało poprawny External ID i każde zakończyło się powodzeniem. Większość przejętych ról była nieużywana, ale wciąż ufała kontu Qubole. Nie ujawniono, jak atakujący zdobył dostęp do konta dostawcy.
W zbadanych kontach atakujący odczytywał zmienne środowiskowe funkcji Lambda, Secrets Manager i Parameter Store, a znalezione dane uwierzytelniające sprawdzał narzędziem TruffleHog. Były wśród nich klucze dostępu użytkowników AWS, sekrety aplikacji w Entra ID i dane uwierzytelniające aplikacji w Okta – należące do poszkodowanych organizacji, nie do dostawcy. Z zasobników S3 dostępnych dla ról kopiował dane, czasem całe zasobniki w jednej sesji.
Aktywność wykryła firma Sentra w kilku środowiskach klientów. Osobno, między 8 a 11 października, ktoś użył kluczy dostępu AWS, które według badaczy klienci utworzyli dla Qubole – Wiz nie powiązał tego z przejmowaniem ról. Według The Hacker News do czasu publikacji ani Qubole, ani Idera nie wydały publicznego oświadczenia. Liczba poszkodowanych klientów nie jest znana.
Najważniejsze ustalenia
- Przejmowanie ról: 14–26 października 2026; osobne użycie kluczy dostępu: 8–11 października 2026.
- External ID nie zatrzymał ataku – AWS nie traktuje go jako sekretu, a CloudTrail zapisuje go otwartym tekstem.
- Wykradzione: sekrety z Lambda, Secrets Manager i Parameter Store oraz dane z S3; wśród sekretów klucze AWS, sekrety aplikacji w Entra ID i dane uwierzytelniające Okta.
- Według Wiz już sam warunek adresu źródłowego w polityce zaufania zablokowałby każde zaobserwowane przejęcie roli.
- Brak atrybucji; Wiz opublikował wskaźniki do przeszukania logów od 1 października.