Zneužité AWS poverenia spájané s Qubole otvorili útočníkovi prístup k zákazníckym prostrediam

Qubole AWS poverenia použil útočník na vstup do cloudových prostredí zákazníkov cez dôveryhodné cross-account IAM roly. Podľa výskumníkov spoločnosti Wiz prebiehala aktivita medzi 14. a 26. októbrom 2026. Útočník získaval konfigurácie, tajomstvá a pristupoval k objektom uloženým v službe Amazon S3.

Platforma Qubole používala dotknutý AWS účet na prístup do prostredí zákazníkov. Ak zákazník tomuto účtu stále dôveroval prostredníctvom IAM roly typu AssumeRole, platné poverenia mohli útočníkovi umožniť prevziať rolu a konať v rozsahu jej oprávnení.

Qubole AWS poverenia a prístup cez AssumeRole

Wiz uviedol, že pozoroval neoprávnený prístup do viacerých AWS prostredí. Útočník využíval dôveryhodný vzťah nastavený medzi AWS účtom spájaným s Qubole a účtami zákazníkov. Nešlo teda o teoretickú chybu konfigurácie: výskumníci popisujú reálne prístupy k zákazníckym zdrojom a exfiltráciu dát.

V rámci napadnutých prostredí mal aktér zbierať údaje z AWS Secrets Manager, SSM Parameter Store a z premenných prostredia funkcií AWS Lambda. Tieto služby a nastavenia môžu obsahovať heslá, prístupové kľúče, tokeny alebo iné údaje potrebné na prístup k ďalším systémom. Wiz zároveň zaznamenal sťahovanie objektov zo S3.

Sentra uviedla, že kampaň zasiahla viac než tucet organizácií. Tento počet na základe zistení výskumníkov nezávisle reprodukoval aj SecurityWeek. Identity dotknutých organizácií však verejne potvrdené nie sú, rovnako ako úplný rozsah získaných dát.

External ID neochráni pri kompromitovaných povereniach

Prípad sa týka dodávateľského prístupu v cloude. Organizácia môže externému poskytovateľovi udeliť možnosť prevziať konkrétnu IAM rolu vo svojom účte AWS, napríklad kvôli prevádzke integrovanej služby. Pri takomto nastavení sa môže používať aj External ID, ktoré pomáha rozlíšiť jednotlivých zákazníkov.

Prípad zároveň ukazuje, že External ID samo osebe nemusí stačiť, ak útočník získa platné poverenia dodávateľa a potrebné údaje na využitie dôveryhodného vzťahu. Dôležité sú preto aj rozsah práv pridelenej roly, kontrola existujúcich trust policy a pravidelné rušenie prístupov, ktoré už integrácia nepotrebuje.

Verejne nie je potvrdené, ako sa útočník k povereniam spájaným s AWS účtom Qubole dostal. Wiz útok nepripísal konkrétnej skupine ani štátu a neuviedol motiváciu aktéra. Výskumníci našli na jeho infraštruktúre ISO súbor, nepotvrdili však, že by bol nasadený proti obetiam.

Čo majú preveriť zákazníci Qubole

Wiz zverejnil indikátory kompromitácie a zákazníkom Qubole odporučil preveriť záznamy AWS CloudTrail od 1. októbra 2026. Kontrola má byť zameraná najmä na neobvyklé udalosti AssumeRole a následné aktivity v službách, ktoré pracujú s citlivými údajmi alebo dátovými úložiskami.

• Overiť, či AWS účty stále obsahujú dôveryhodné IAM roly pre Qubole alebo súvisiace integrácie.
• Nepoužívané roly odstrániť, prípadne obmedziť ich oprávnenia na nevyhnutný rozsah.
• Preskúmať CloudTrail od 1. októbra 2026 vrátane prevzatí rolí a prístupov k Secrets Manager, SSM Parameter Store, Lambda a S3.
• Rotovať dostupné tajomstvá, najmä ak mohli byť čítané z dotknutých služieb alebo premenných prostredia.
• Porovnať zistenia so zverejnenými indikátormi kompromitácie od Wiz.

Wiz popísal aj oddelenú aktivitu z 8. až 11. októbra, počas ktorej niekto testoval zákaznícke AWS kľúče vytvorené pre integrácie Qubole. Spojenie tejto aktivity s hlavnou kampaňou zatiaľ spoľahlivo potvrdené nebolo.

Čo bude nasledovať

Ďalšie informácie môže priniesť vyjadrenie spoločností Qubole, Idera alebo AWS, najmä k pôvodu kompromitovaných poverení a informovaniu zákazníkov. Výskumníci tiež môžu zverejniť nové indikátory kompromitácie, upravené odporúčania alebo presnejšie údaje o počte zasiahnutých organizácií a rozsahu exfiltrácie.

Overené a aktualizované: 10. 11. 2026 15:29