Seorang peretas berhasil menyusup ke sejumlah akun AWS milik pelanggan Qubole antara tanggal 14 Oktober hingga 26 Oktober serta menggondol rahasia tersimpan beserta berbagai data penting, ungkap perusahaan keamanan komputasi awan Wiz hari ini.
Pelaku kejahatan siber tersebut memanfaatkan kredensial resmi milik akun AWS yang biasa dipakai platform Qubole untuk menjangkau para kliennya. Hingga saat ini, metode bagaimana pelaku memperoleh kredensial penting tersebut masih belum diungkapkan ke publik.
Qubole, sebuah platform data lake yang berada di bawah kepemilikan Idera, beroperasi langsung di dalam lingkungan akun AWS milik masing-masing pelanggan. Agar platform ini diizinkan masuk, pelanggan harus membuat IAM role, yaitu sebuah identitas AWS khusus yang dilengkapi serangkaian hak akses tertentu.
Kebijakan kepercayaan pada IAM role tersebut memberi izin kepada akun AWS milik Qubole untuk mengambil alih peran tersebut (assume role), sekaligus memberikan seluruh wewenang terkait. Setiap upaya permintaan tindakan ini, yang dikenal sebagai AssumeRole, wajib menyertakan kode pencocokan unik dari Qubole yang dinamai External ID.
Terlepas dari adanya peristiwa serangan tersebut, sebagian besar IAM role yang diambil alih oleh peretas sebetulnya sudah lama tidak digunakan aktif, menurut penjelasan para peneliti dari Wiz. Namun, karena setiap role tersebut masih sepenuhnya menaruh kepercayaan pada akun Qubole, seluruh permintaan akses yang dikirimkan oleh peretas tetap berhasil dieksekusi sistem.
Organisasi mana pun yang pernah menyambungkan layanan Qubole ke infrastruktur AWS milik mereka, termasuk perusahaan yang kini sudah tidak memakainya lagi, sangat disarankan segera memeriksa log CloudTrail terhitung sejak 1 Oktober dan seterusnya. Indikator mencurigakan yang harus dicari adalah adanya permintaan AssumeRole dari nomor akun platform resmi Qubole, yakni 805246085872, yang justru berasal dari alamat IP di luar jaringan AWS.
Pihak peneliti tidak menginformasikan secara rinci apakah deretan kredensial bermasalah tersebut sekarang telah dinonaktifkan sepenuhnya atau apakah aktivitas mencurigakan itu sudah benar-benar berhenti. Baik pihak Qubole maupun Idera belum merilis satu pun pernyataan resmi di situs web mereka saat media The Hacker News melakukan konfirmasi hari ini.
Penyebab Akun Pelanggan Bisa Ditembus
Seluruh permintaan AssumeRole yang terhubung dengan aktor ancaman ini terbukti menyertakan External ID valid sehingga langsung diterima tanpa kendala, terang para peneliti di dalam laporan analisis teknis mereka.
Layanan AWS memang otomatis menyetujui permintaan AssumeRole untuk kategori peran semacam ini asalkan dikirimkan langsung oleh akun tepercaya dan membawa External ID yang tepat. Kode verifikasi ini pada dasarnya tidak diperlakukan selayaknya kata sandi rahasia, dan siapa saja yang memegang akses ke peran tersebut dapat melihat kodenya secara mudah, sebagaimana tertuang pada panduan eksternal ID resmi AWS.
Perusahaan keamanan Sentra menjadi pihak pertama yang mengidentifikasi gelombang aktivitas ganjil ini di dalam lingkungan cloud milik beberapa pelanggannya, kemudian segera memperingatkan tim peneliti.
Pada akun-akun korban yang sempat diperiksa secara forensik, peretas secara agresif memburu aneka kredensial tersimpan. Penyerang membaca variabel lingkungan pada layanan Lambda, menguras rahasia dari Secrets Manager, dan meneliti nilai-nilai konfigurasi pada SSM Parameter Store.
Setelah berhasil mengumpulkan data tersebut, peretas lantas menguji seluruh temuan memakai perkakas TruffleHog untuk mengecek keabsahannya. Temuan yang diuji tersebut mencakup kunci akses AWS pribadi milik korban, rahasia klien Entra ID, hingga kredensial otentikasi Okta.
Tidak hanya itu, pelaku turut menyalin banyak data sensitif keluar dari penyimpanan S3. Peretas mengunduh berkas dari ember penyimpanan (bucket) mana saja yang sanggup diakses oleh peran terkait tanpa menyaring data spesifik, bahkan kerap mengunduh seluruh isi bucket sekaligus dalam satu sesi penyusupan tunggal.
Para analis keamanan belum menemukan keterkaitan kampanye berbahaya ini dengan catatan aktivitas siber yang pernah dipublikasikan sebelumnya. Mereka juga menegaskan bahwa pola penargetan serangan ini tidak mencerminkan karakteristik yang biasa diperlihatkan kelompok peretas binaan negara.
Di samping penggunaan peran, Qubole sejatinya memperbolehkan pengguna terhubung memanfaatkan kunci akses AWS langsung. Dari kurun waktu 8 Oktober sampai 11 Oktober, pelaku memanfaatkan kunci akses AWS kepunyaan korban, yang diyakini sengaja disiapkan khusus untuk integrasi Qubole.
Pelaku pembobolan tersebut selanjutnya mengorbankan sebagian kecil lingkungan awan milik target. Kendati demikian, insiden pemanfaatan kunci langsung ini belum terbukti memiliki kaitan dengan eksploitasi AssumeRole.
Panduan Memeriksa dan Mengamankan Akun AWS
Petunjuk investigasi dari Wiz menganjurkan pemeriksaan mendalam terhadap log CloudTrail dari tanggal 1 Oktober ke depan pada seluruh akun AWS yang menyimpan IAM role Qubole. Perhatikan hal berikut:
Untuk tiap sesi yang terindikasi mencurigakan, lakukan peninjauan menyeluruh terhadap setiap tindakan lanjutan yang terjadi setelahnya, utamanya aktivitas di dalam Secrets Manager, SSM Parameter Store, AWS Lambda, serta layanan penyimpanan S3.
Pencatatan aktivitas manajemen pada CloudTrail memang merekam seluruh histori pemanggilan AssumeRole dan inventarisasi daftar isi bucket, namun tidak mendokumentasikan objek file S3 mana saja yang sempat dibaca. Pemantauan mendalam tersebut mutlak membutuhkan aktivasi log data peristiwa S3 atau log akses server S3. Sayangnya, sejumlah organisasi korban tidak mengaktifkan pencatatan esensial ini, sehingga tim penanggap insiden tidak mampu menyimpulkan objek berkas apa saja yang telah dibuka oleh penyusup.
Langkah Menutup Celah Masuk
Menanggapi insiden ini, pihak peneliti membagikan serangkaian anjuran mitigasi teknis berikut:
