Cảnh báo: Hacker lợi dụng quyền truy cập AWS của Qubole để đánh cắp dữ liệu khách hàng
Các chuyên gia bảo mật từ Wiz phát hiện một chiến dịch tấn công nhắm vào các tài khoản AWS thông qua việc lạm dụng quyền truy cập của nền tảng Qubole, dẫn đến rò rỉ dữ liệu và thông tin xác thực nhạy...
- Giọng nữ Bắc
Từ ngày 14 đến 26 tháng 10 năm 2026, một chiến dịch tấn công mạng đã nhắm vào các tài khoản AWS của nhiều khách hàng sử dụng nền tảng dữ liệu Qubole. Theo báo cáo từ công ty bảo mật cloud Wiz, kẻ tấn công đã chiếm quyền truy cập vào các tài khoản này bằng cách lợi dụng các đặc quyền mà Qubole được cấp để vận hành trong môi trường AWS của khách hàng.
Phương thức tấn công
Qubole hoạt động bằng cách yêu cầu khách hàng tạo một IAM role với các quyền hạn nhất định. Để xác thực, hệ thống sử dụng cơ chế AssumeRole kèm theo một mã định danh gọi là External ID. Kẻ tấn công đã sử dụng các thông tin xác thực hợp lệ của tài khoản Qubole để thực hiện các yêu cầu AssumeRole này. Mặc dù External ID không được coi là một bí mật bảo mật tuyệt đối, nhưng việc kẻ tấn công có thể vượt qua các lớp kiểm soát cho thấy lỗ hổng trong quy trình quản lý quyền truy cập.
Sau khi xâm nhập, kẻ tấn công đã thực hiện các hành vi:
- Truy xuất các biến môi trường của hàm Lambda, bí mật từ Secrets Manager và các giá trị từ SSM Parameter Store.
- Sử dụng công cụ TruffleHog để kiểm tra tính hợp lệ của các khóa truy cập AWS, thông tin xác thực Entra ID và Okta tìm thấy được.
- Sao chép dữ liệu từ các bucket S3 mà role bị chiếm dụng có quyền truy cập.
Khuyến nghị bảo mật
Các chuyên gia khuyến cáo các tổ chức từng kết nối Qubole với AWS cần kiểm tra ngay nhật ký CloudTrail từ ngày 1/10 trở lại đây. Đặc biệt chú ý đến các yêu cầu AssumeRole từ tài khoản 805246085872 có địa chỉ IP nằm ngoài dải mạng của AWS.
Để ngăn chặn và khắc phục, doanh nghiệp nên thực hiện các bước sau:
- Xoay vòng (Rotate) toàn bộ bí mật, tham số và biến môi trường nếu tài khoản đã bị xâm nhập.
- Thu hồi các phiên làm việc (session) đang hoạt động của các role bị ảnh hưởng.
- Thiết lập điều kiện
aws:SourceIphoặcaws:SourceVpcetrong chính sách IAM để giới hạn các yêu cầu AssumeRole chỉ từ dải mạng của nhà cung cấp. - Giám sát chặt chẽ các yêu cầu AssumeRole đến từ các dịch vụ VPN hoặc các nhà cung cấp hosting lạ.
- Rà soát lại quyền hạn của các vendor role, đảm bảo tuân thủ nguyên tắc đặc quyền tối thiểu (least privilege).
Hiện tại, cả Qubole và công ty mẹ Idera vẫn chưa đưa ra thông báo chính thức về vụ việc này.
Nguồn tham khảo: The Hacker News
No Comment! Be the first one.