Qubole'un müşteri AWS hesaplarına güvenilen erişimi kötüye kullanıldı; saldırgan kullanılmayan rollerle secret ve S3 verisi topladı
Wiz, 14–26 Ekim arasında bir saldırganın Qubole platformunun kullandığı AWS hesabına ait IAM kimlik bilgileriyle birden fazla müşterinin AWS ortamına girdiğini, secret'ları ve S3 verisini topladığını açıkladı. Kimlik bilgilerinin nasıl ele geçirildiği ve Qubole'un tutumu henüz bilinmiyor.
Bulut güvenliği şirketi Wiz, Sentra ve Mandiant ile birlikte yürüttüğü incelemenin sonuçlarını 9 Kasım'da yayımladı: bir saldırgan, 14–26 Ekim 2026 arasında Qubole platformunun müşteri ortamlarına erişmek için kullandığı AWS hesabına ait IAM kimlik bilgileriyle, müşterilerin Qubole'a güvenmek için açtığı IAM rollerini üstlendi (AssumeRole) ve birden fazla müşterinin AWS ortamına girdi. The Hacker News'e göre Qubole, Idera'ya ait bir data lake platformu.
Kimlik bilgilerinin nasıl ele geçirildiği açıklanmadı. Qubole ve Idera'nın 9 Kasım itibarıyla web sitelerinde bir açıklaması yoktu; etkilenen müşteri sayısı da paylaşılmadı.
Saldırgan ne yaptı?
Wiz'e göre saldırganın her rol üstlenme isteği doğru External ID'yi içeriyordu ve başarılı oldu. Dikkat çeken nokta şu: üstlenilen rollerin çoğu müşteriler tarafından artık kullanılmıyordu. Gözlenen ortamların çoğunda Ekim ayında vendor hesabından gelen tek AssumeRole trafiği saldırgana aitti; ancak trust policy'ler silinmediği için kapı açık kaldı.
İçeride saldırgan önce kaynakları listeledi (S3, EC2, RDS, IAM, KMS), ardından Lambda ortam değişkenlerini, Secrets Manager secret'larını ve SSM Parameter Store değerlerini okudu. Bulduğu AWS anahtarlarını, Entra ID service principal secret'larını ve Okta token'larını TruffleHog ile doğruladı. S3 tarafında rolün erişebildiği bucket'ları, bazen tamamını tek oturumda indirdi. Oturum adlarında quiam- öneki kullanıldı. Wiz, 8–11 Ekim'de müşteriye ait Qubole entegrasyon anahtarlarının da test edildiğini, ancak bunu aynı faaliyete bağlamadığını belirtiyor.
Önemli bir kör nokta: CloudTrail yönetim olayları rol üstlenmeyi ve bucket listelemeyi kaydediyor ama nesne okumalarını kaydetmiyor. S3 data events ya da server access log'u açık olmayan kurbanlar hangi dosyaların okunduğunu belirleyemedi.
Beni etkiliyor mu?
Wiz'in avlanma önerileri, sözle:
- Qubole ya da başka bir vendor için açılmış rol bulunan her hesapta CloudTrail'i 1 Ekim 2026'dan itibaren inceleyin.
- Kaynak hesap kimliği 805246085872 olan ve kaynak IP'si AWS dışından gelen AssumeRole olaylarını arayın; Wiz meşru platform trafiğinin hep AWS adreslerinden geldiğini söylüyor.
- AIDA3W7DIFLYOLTK63SFS principal kimliği gözlenen ortamlarda yalnızca saldırgan tarafından kullanıldı; AIDAJYRRH5Y3A7AAJM2HW ise meşru trafik de taşıyor, AWS dışı IP ile birlikte değerlendirin.
- Wiz'in yayımladığı IP listesi (OVH ve Mullvad VPN çıkışları) ile eşleşme arayın; VPN adresleri paylaşımlı olduğu için tek başına kesin kanıt değildir.
Ne yapılmalı?
- Rol üstlenilmişse, rolün okuyabildiği tüm secret, parametre ve Lambda ortam değişkenlerini değiştirin ve rolün aktif oturumlarını iptal edin; Wiz, anahtar değiştirmenin önceden verilmiş oturumları sonlandırmadığını hatırlatıyor.
- Kullanmadığınız entegrasyon rollerini kaldırın ya da vendor hesabını trust policy'den çıkarın.
- Trust policy'de hesabın tamamı (root) yerine vendor'ın kullandığı belirli principal'ı tanımlayın; vendor'ın yayımladığı IP veya VPC endpoint aralıklarıyla sınırlayın. Wiz'e göre yalnızca kaynak IP koşulu gözlenen tüm rol üstlenmelerini engellerdi.
- External ID'yi gizli bilgi saymayın; olaydan sonra vendor ile birlikte yenileyin.
- Hassas bucket'larda S3 data events veya server access log'u açın; vendor hesabından yeni bir VPN ya da hosting ağından gelen AssumeRole için alarm kurun.
