Tin tặc lợi dụng quyền truy cập AWS tin cậy của Qubole để lấy cắp bí mật và dữ liệu khách hàng

Hãng bảo mật cloud Wiz (thuộc Google) vừa công bố một chiến dịch tấn công chuỗi cung ứng nhắm vào khách hàng của Qubole, nền tảng xử lý dữ liệu trên cloud. Theo The Register, kẻ tấn công chưa xác định đã dùng thông tin xác thực IAM gắn với tài khoản AWS của Qubole để truy cập môi trường AWS của nhiều khách hàng, lấy cắp bí mật, khoá và dữ liệu trong các bucket S3. Wiz không công bố số tổ chức bị ảnh hưởng, chỉ mô tả đây là chiến dịch "rộng và mang tính cơ hội".

Lỗ hổng nằm ở quan hệ tin cậy chéo tài khoản

Qubole dùng các vai trò IAM chéo tài khoản (cross-account IAM role) để quản lý tài nguyên tính toán và truy cập lưu trữ trong tài khoản AWS của khách hàng, thay vì yêu cầu khách hàng cung cấp khoá truy cập dài hạn. Cách làm này vốn được coi là an toàn hơn, nhưng nó tạo ra một quan hệ tin cậy: ai nắm được danh tính phía Qubole đều có thể xin quyền tạm thời vào tài khoản khách hàng.

Theo các nhà nghiên cứu, nhiều tổ chức đã ngừng dùng Qubole nhưng vẫn để nguyên chính sách tin cậy (trust policy). Nhờ đó, kẻ tấn công assume thành công các vai trò tích hợp, liệt kê tài nguyên, thu thập bí mật và sao chép dữ liệu.

Diễn biến tấn công

Wiz phối hợp với đội ứng cứu Mandiant sau khi công ty bảo mật dữ liệu Sentra phát hiện hoạt động đáng ngờ. Dấu vết được truy về ngày 14/10, khi thông tin xác thực gắn với tài khoản AWS của Qubole (805246085872) gọi API sts:AssumeRole để lấy thông tin xác thực tạm thời cho các vai trò tích hợp do khách hàng quản lý. Hoạt động tiếp diễn ngày 15/10 và từ ngày 18/10 kẻ tấn công dùng thêm một người dùng IAM thứ hai trong cùng tài khoản.

Khi đã vào được môi trường khách hàng, chúng dò quét nhiều dịch vụ AWS, lấy cắp khoá và bí mật lưu trong Lambda, Secrets Manager và SSM Parameter Store. Chúng còn dùng công cụ TruffleHog để kiểm tra khoá AWS của nạn nhân, tìm bí mật Microsoft Entra ID và xin token OAuth bằng thông tin client Okta tìm thấy. Ở một số nơi, kẻ tấn công tải về toàn bộ bucket S3. Wiz cũng ghi nhận một chiến dịch riêng từ 8 đến 11/10 dùng khoá truy cập AWS của khách hàng cho tích hợp Qubole, nhưng chưa thể khẳng định hai chiến dịch có liên quan.

Khuyến nghị xử lý

Các tổ chức từng tích hợp Qubole được khuyến nghị xoay vòng thông tin xác thực, lưu ý việc này không chấm dứt các phiên tạm thời đã cấp. Cần rà CloudTrail từ ngày 1/10, tìm sự kiện AssumeRole có userIdentity.accountId trùng tài khoản của Qubole, nhất là từ địa chỉ IP ngoài AWS. Với mỗi phiên tìm thấy, phải xem toàn bộ hoạt động tiếp theo, đặc biệt ở Secrets Manager, SSM Parameter Store, Lambda và S3; nếu vai trò đã bị assume thì xoay toàn bộ bí mật mà vai trò đó đọc được và thu hồi các phiên đang hoạt động.

Góc nhìn NTEK

Sự cố cho thấy rủi ro lớn của cloud không chỉ đến từ lỗ hổng phần mềm mà từ các quan hệ tin cậy bị bỏ quên. Doanh nghiệp, cơ quan Việt Nam đang dùng AWS, Azure hay cloud trong nước đều nên kiểm kê định kỳ mọi vai trò, ứng dụng và đối tác bên thứ ba đang có quyền truy cập, gỡ bỏ ngay tích hợp đã ngừng dùng và giới hạn quyền ở mức tối thiểu. Bí mật nên lưu tập trung, có hạn dùng và xoay vòng tự động; nhật ký truy cập phải được bật, lưu đủ lâu và có cảnh báo khi xuất hiện phiên từ tài khoản ngoài.

Nguồn: The Register