Компания Sentra 9 ноября опубликовала отчёт об атаке на клиентов платформы обработки больших данных Qubole. По её сведениям, похищенные учётные данные поставщика позволили злоумышленнику проникнуть в облачные среды десятков организаций и выгрузить данные. Исследование проводилось совместно с Wiz и Mandiant. Точная дата начала атаки в публикации не названа
Доступ открывали роли, которым заказчики ранее разрешили работу со своими ресурсами в облаке Amazon. Некоторые из этих подключений месяцами не использовались, однако права сохранялись. Дополнительная проверка по идентификатору ExternalId не остановила атакующего: он предъявлял правильные значения. При этом, по наблюдениям исследователей, соединения шли с арендованного сервера и через сторонний сервис виртуальной частной сети, а не из сети поставщика
Злоумышленник скачивал файлы и резервные копии производственных баз данных, а также извлекал секреты из облачных сервисов и настроек приложений. Sentra сообщает примерно о сотне прочитанных паролей и ключей за семь минут; в скачанных файлах нашлись ещё тысячи записей с учётными данными. В исследованной активности не было операций изменения или удаления: атака была направлена на кражу информации
Исследователи рекомендуют отозвать доверие к Qubole во всех соответствующих ролях, заменить прочитанные злоумышленником секреты, заблокировать его сетевые адреса и сохранить журналы событий. Для остальных интеграций они советуют сократить разрешения и ограничить доступ сетями поставщика. По оценке Sentra, все обнаруженные в этой атаке утечки секретов стали возможны благодаря правам, которые платформе не требовались
Первоисточник — Sentra
Сообщите редакции. Существенные исправления мы отмечаем в материале