Seorang peretas menyusup ke akun AWS milik sejumlah pelanggan Qubole antara tanggal 14 Oktober hingga 26 Oktober serta menggondol rahasia tersimpan dan data berharga, demikian diungkapkan oleh firma keamanan cloud Wiz hari ini.
Pelaku kejahatan siber memanfaatkan kredensial resmi milik akun AWS yang biasa digunakan platform Qubole untuk terhubung ke para pelanggannya. Namun, metode yang dipakai peretas guna mendapatkan kredensial krusial tersebut hingga kini belum diungkapkan kepada publik.
Qubole, penyedia layanan data lake yang kini bernaung di bawah payung Idera, beroperasi langsung di dalam lingkungan akun AWS milik pelanggan mereka. Agar platform dapat mengakses sistem, pihak pelanggan diwajibkan menyusun IAM role, yaitu sebuah identitas AWS khusus yang dilengkapi dengan rincian izin akses tertentu.
Kebijakan kepercayaan pada role tersebut memberikan wewenang penuh kepada akun AWS Qubole untuk mengambil alih identitas melalui proses peminjaman peran. Setiap kali permintaan eksekusi ini diajukan, yang dikenal sebagai AssumeRole, sistem mewajibkan penyertaan kode identifikasi khusus yang cocok dari Qubole yang dinamai External ID.
Di luar insiden peretasan ini, sebagian besar identitas role yang berhasil disusupi oleh pelaku sesungguhnya sudah lama tidak aktif digunakan, menurut temuan tim peneliti Wiz. Kendati demikian, setiap role masih tetap menyimpan relasi kepercayaan terhadap akun Qubole, sehingga seluruh rentetan permintaan eksploitasi peretas tetap dapat dieksekusi secara mulus.
Seluruh entitas bisnis atau organisasi yang sempat mengintegrasikan Qubole ke ekosistem AWS mereka, termasuk entitas yang sudah menghentikan pemakaian layanannya, diimbau segera mengaudit riwayat log CloudTrail mereka mulai 1 Oktober ke depan. Tanda utama yang wajib dicermati adalah munculnya permintaan AssumeRole yang berasal dari akun resmi milik platform Qubole dengan nomor identifikasi 805246085872, yang terdeteksi datang melalui alamat di luar jaringan AWS.
Para analis keamanan siber belum memberikan kepastian apakah izin kredensial terkait telah dicabut sepenuhnya sekarang atau apakah pergerakan mencurigakan tersebut telah terhenti total. Pihak Qubole maupun induk usahanya, Idera, belum memuat penjelasan resmi mengenai peristiwa pembobolan ini di portal web mereka ketika The Hacker News melakukan peninjauan hari ini.
Alasan Role Mengizinkan Pelaku Masuk
Setiap pengajuan perintah AssumeRole yang dieksekusi oleh pelaku selalu menyertakan External ID yang sesuai sehingga berhasil diproses, papar para analis keamanan dalam laporan bedah teknis mereka.
Sistem AWS secara otomatis menyetujui panggilan AssumeRole pada role semacam itu apabila panggilan datang langsung dari akun tepercaya dan membawa nilai External ID yang tepat. Rangkaian kode tersebut nyatanya tidak dikategorikan sebagai rahasia terlindung, dan siapa saja yang memegang akses langsung ke konfigurasi role dapat membacanya secara terbuka, berdasarkan buku panduan external ID dari AWS.
Firma keamanan Sentra menjadi pihak pertama yang mengidentifikasi gelombang aktivitas mencurigakan ini pada lingkungan komputasi beberapa klien mereka, lalu segera meneruskan peringatan darurat tersebut kepada para peneliti.
Pada deretan akun yang telah diperiksa langsung oleh peneliti, pelaku tampak memburu beragam kredensial rahasia yang tersimpan. Pelaku tercatat memeriksa variabel lingkungan milik Lambda functions, mengekstrak data rahasia dari Secrets Manager, serta menyalin nilai-nilai penting yang berada di SSM Parameter Store.
Peretas selanjutnya menguji fungsionalitas seluruh kredensial yang berhasil dirampas memakai perkakas bantu TruffleHog. Kunci akses yang teridentifikasi mencakup AWS access keys milik para korban itu sendiri, client secrets untuk Entra ID, serta kredensial autentikasi klien Okta.
Pelaku penyerangan pun kedapatan menduplikasi tumpukan data keluar dari penyimpanan S3. Mereka mengambil data dari wadah bucket mana saja yang bisa dibuka oleh role tersebut alih-alih mencari berkas tertentu secara spesifik, dan bahkan dalam beberapa kesempatan mengunduh muatan satu bucket secara keseluruhan dalam satu sesi sambungan.
Tim analis belum mengaitkan rangkaian kampanye siber ini dengan aktivitas serangan lain yang pernah dilaporkan secara terbuka, dan menyebut pola sasaran korban tidak menyerupai karakteristik kelompok spionase siber binaan negara.
Selain itu, Qubole juga memfasilitasi integrasi akun bagi pelanggan lewat penyertaan AWS access keys sebagai alternatif dari konfigurasi role. Mulai 8 Oktober hingga 11 Oktober, peretas menggunakan AWS access keys kepunyaan pelanggan, yang diperkirakan oleh peneliti memang khusus dikonfigurasikan untuk kebutuhan Qubole.
Pelaku tersebut kemudian berhasil menerobos masuk ke beberapa lingkungan cloud milik para korban. Rangkaian tindakan terpisah ini belum terbukti memiliki kaitan langsung dengan aksi penyalahgunaan metode AssumeRole.
Cara Memeriksa Akun Anda
Petunjuk investigasi dari Wiz mencakup peninjauan log CloudTrail terhitung mulai 1 Oktober dan seterusnya pada setiap akun AWS yang masih mengonfigurasi role Qubole. Perhatikan:
Untuk setiap sesi janggal yang ditemukan, selidiki secara mendalam semua jejak operasional yang dilakukan setelahnya, terutama aktivitas pada layanan Secrets Manager, SSM Parameter Store, Lambda, serta repositori S3.
Fitur CloudTrail management events memang merekam setiap panggilan AssumeRole serta penelusuran daftar bucket, namun fitur ini tidak mencatat objek S3 mana saja yang sempat dibuka atau dibaca. Informasi detail tersebut membutuhkan pemantauan S3 data events atau pencatatan S3 server access logs. Sejumlah korban diketahui tidak mengaktifkan pencatatan log yang memadai, sehingga para penyelidik insiden gagal memastikan file objek mana saja yang telah dibaca oleh peretas.
Langkah Menutup Jalur Akses
Tim peneliti menganjurkan tindakan-tindakan berikut:
About the Author
