Seorang peretas berhasil menyusup ke sejumlah akun AWS milik pelanggan Qubole dalam rentang 14 Oktober hingga 26 Oktober serta mengambil data rahasia dan informasi penting yang tersimpan di dalamnya, menurut laporan resmi perusahaan keamanan komputasi awan Wiz hari ini.
Pelaku ancaman tersebut diketahui memanfaatkan kredensial akun AWS milik platform Qubole yang semestinya digunakan untuk terhubung dengan para pelanggan. Sampai saat ini, mekanisme perolehan kredensial tersebut oleh pihak penyerang masih belum dipublikasikan secara terbuka kepada publik.
Qubole merupakan platform data lake yang berada di bawah kepemilikan Idera dan beroperasi secara langsung di dalam lingkungan akun AWS milik pelanggannya. Agar sistem ini dapat masuk, pelanggan membuat IAM role khusus, yaitu entitas identitas AWS yang dilengkapi dengan kumpulan izin akses tertentu.
Kebijakan kepercayaan pada role tersebut memberikan izin kepada akun AWS Qubole untuk mengambil alih identitas melalui mekanisme assume role guna mendapatkan izin-izin tersebut. Setiap permintaan pengalihan peran yang disebut AssumeRole ini wajib menyertakan kode pengenal yang cocok dari Qubole yang dikenal sebagai External ID.
Berdasarkan temuan para peneliti Wiz, sebagian besar role yang berhasil dieksploitasi oleh penyerang sebenarnya sudah tidak aktif lagi digunakan. Akan tetapi, karena setiap role tersebut masih mempercayai akun resmi milik Qubole, seluruh instruksi AssumeRole yang dikirimkan oleh peretas tetap dapat dieksekusi dengan lancar.
Semua instansi atau organisasi yang pernah menghubungkan infrastruktur Qubole ke ekosistem AWS mereka, termasuk entitas yang sudah menghentikan layanannya, diimbau segera meninjau riwayat CloudTrail sejak 1 Oktober dan seterusnya. Indikasi utama yang perlu diwaspadai adalah permintaan AssumeRole dari ID akun Qubole 805246085872 yang berasal dari alamat jaringan luar AWS.
Para analis keamanan belum mengonfirmasi apakah kredensial bermasalah itu saat ini sudah dinonaktifkan atau apakah aktivitas intrusi telah sepenuhnya berhenti. Saat dicek oleh The Hacker News hari ini, baik Qubole maupun Idera belum merilis pernyataan resmi terkait insiden siber ini di situs resmi mereka.
Penyebab Akun Dapat Ditembus Pelaku
Dalam laporan teknis yang diterbitkan, para analis keamanan menguraikan bahwa seluruh permintaan AssumeRole yang dilancarkan peretas selalu menyertakan External ID yang valid sehingga berhasil diterima tanpa hambatan.
Sistem AWS secara otomatis menyetujui permintaan AssumeRole untuk peran semacam ini apabila berasal dari akun tepercaya dan membawa External ID yang tepat. Sesuai panduan external ID dari AWS, kode tersebut pada dasarnya tidak dianggap sebagai rahasia mutlak dan dapat dilihat oleh siapa saja yang memiliki hak akses terhadap peran tersebut.
Aktivitas mencurigakan ini mulanya diidentifikasi oleh Sentra di dalam infrastruktur beberapa pelanggannya, yang selanjutnya langsung meneruskan informasi peringatan tersebut kepada tim peneliti independen.
Di dalam akun korban yang diperiksa, penyerang terbukti berburu data otentikasi tersimpan. Mereka membaca variabel lingkungan dari fungsi Lambda, mengekstraksi rahasia penting dari Secrets Manager, serta mengambil nilai-nilai konfigurasi yang ada di dalam SSM Parameter Store.
Pelaku kejahatan kemudian menguji seluruh temuan tersebut menggunakan alat pendeteksi TruffleHog guna memastikan validitasnya. Temuan yang diuji mencakup kunci akses AWS internal milik korban, rahasia klien Entra ID, hingga kredensial akses otentikasi milik Okta.
Selain itu, peretas mengunduh berkas dalam jumlah masif dari layanan S3. Mereka mengambil data dari wadah penyimpanan mana pun yang dapat dijangkau oleh role tersebut alih-alih mencari dokumen spesifik, bahkan kerap menyedot keseluruhan isi bucket dalam satu sesi tunggal.
Tim peneliti sejauh ini belum mengaitkan rangkaian serangan ini dengan kampanye peretasan publik lainnya, seraya menegaskan bahwa profil penargetan insiden ini tidak mencerminkan karakteristik kelompok peretas yang didanai oleh negara.
Selain mekanisme peran, Qubole memungkinkan integrasi pelanggan menggunakan access keys AWS biasa. Pada periode 8 Oktober hingga 11 Oktober, pelaku tercatat memanfaatkan access keys AWS milik korban yang diduga kuat disiapkan khusus untuk Qubole.
Penyerang tersebut lantas berhasil mengompromikan sejumlah lingkungan komputasi awan korban. Meskipun demikian, rentetan insiden ini belum terbukti memiliki korelasi langsung dengan manipulasi fitur AssumeRole.
Langkah Pemeriksaan Akun AWS
Rekomendasi pelacakan ancaman dari Wiz berfokus pada audit mendalam terhadap log CloudTrail sejak 1 Oktober untuk setiap akun AWS yang memuat konfigurasi peran Qubole. Periksa hal berikut:
Setiap kali mendeteksi sesi yang mencurigakan, lakukan penelusuran menyeluruh atas segala tindakan yang terjadi setelahnya, terutama operasional pada Secrets Manager, SSM Parameter Store, Lambda, serta repositori S3.
Log aktivitas manajemen CloudTrail memang mendokumentasikan setiap instruksi AssumeRole dan pencatatan daftar isi bucket, namun tidak merekam objek S3 spesifik mana yang telah dibaca. Proses verifikasi tersebut membutuhkan S3 data events atau pencatatan server access logs S3. Sebagian besar korban tidak mengaktifkan fitur pencatatan ini, sehingga tim penanggap insiden tidak dapat memastikan objek data mana saja yang sempat dibuka oleh peretas.
Langkah Menutup Celah Keamanan
Para analis keamanan menyarankan beberapa tindakan mitigasi teknis berikut ini:
