Sentra schat dat de Qubole-aanval tientallen klanten raakt

Qubole-aanval raakt tientallen klanten, meldt Sentra; Wiz zag twee IAM-gebruikers uit het Qubole-AWS-account klantrollen aannemen tijdens een campagne van 14 tot en met 26 oktober.

Een vergeten Qubole-koppeling kan een bedrijf meenemen in een incident dat groter is dan één AWS-omgeving. De controle reikt daarom ook tot inactieve rollen, terwijl het totale aantal getroffen organisaties onbekend blijft.

Sentra noemt tientallen, zonder exact totaal

Sentra zegt dat de aanvaller Qubole-inloggegevens gebruikte om clouddata te bereiken bij tientallen klanten. De beveiligingsleverancier schrijft dat het verdachte activiteit eerst bij eigen klanten zag, daarna bij meer omgevingen met een oude Qubole-koppeling. Het bedrijf publiceert geen exact aantal getroffen organisaties en noemt geen volledige klantenlijst.

Wiz beschrijft in zijn onderzoek meerdere getroffen AWS-omgevingen, maar geeft evenmin een campagnetotaal. SecurityWeek vat dezelfde zaak samen als een aanval op meer dan een dozijn organisaties, zonder een onafhankelijke telling toe te voegen. De formuleringen wijzen op een bredere campagne dan één omgeving, maar geven geen onafhankelijk bevestigd totaal of overzicht van alle getroffen klanten.

Dat verschuift het schaalbeeld ten opzichte van miljoenen S3-bestanden bij één onderzochte klant, terwijl het totale campagnetotaal nog onbekend bleef. Sentra's nieuwe schatting maakt duidelijk dat het incident bij meer organisaties speelt, maar zegt niet hoeveel bedrijven wereldwijd ooit een Qubole-rol in AWS hebben aangemaakt of die nog gebruiken.

De tweede IAM-gebruiker heeft ook legitiem verkeer

Wiz koppelt de activiteit aan twee IAM-gebruikers in AWS-account 805246085872, dat het bedrijf aan Qubole verbindt. In de onderzochte omgevingen zag Wiz principal-ID AIDA3W7DIFLYOLTK63SFS uitsluitend in activiteit van de aanvaller. Vanaf 18 oktober gebruikte de aanvaller ook AIDAJYRRH5Y3A7AAJM2HW. Die tweede identiteit voert volgens Wiz ook regulier Qubole-platformverkeer uit vanaf AWS-infrastructuur.

Dat verschil bepaalt hoe een logregel moet worden gelezen. De eerste principal-ID is in die onderzochte omgevingen een sterk signaal voor onderzoek; de tweede kan op zichzelf ook normale dienstverlening aanduiden. Wiz adviseert daarom bij de tweede identiteit ook de bron-IP te controleren. Wiz koppelt de aanvaller aan Mullvad-VPN-adressen en een gehuurde OVH-server, terwijl legitiem verkeer vanuit AWS-infrastructuur kwam.

De telling heeft duidelijke grenzen

Sentra baseert de schatting van tientallen klanten op onderzoek onder eigen klanten met een Qubole-koppeling. De publicatie geeft geen namen, ruwe aantallen of methode waarmee een totaal voor alle Qubole-klanten is berekend. De schatting is daarom een aanwijzing voor de omvang van de campagne, geen openbare slachtofferinventaris. Ook Wiz' beschrijving van meerdere omgevingen bevestigt op zichzelf geen exact aantal.

De methode achter de inbraak is eveneens onopgelost. Wiz schrijft dat het niet heeft vastgesteld hoe de aanvaller de Qubole-inloggegevens verkreeg. BleepingComputer meldde op 10 november dat het geen openbare aankondiging van Qubole kon vinden en nog op antwoord wachtte. Zonder die toelichting zijn de herkomst van de inloggegevens en de volledige groep geraakte klanten niet onafhankelijk te controleren.

AWS-sleutels blijven vaak langer actief dan bedoeld

Een andere meting laat zien dat langdurige cloudtoegang ook buiten deze leveranciersrelatie voorkomt. Truffle Security hertestte in augustus 10.616 eerder gelekte AWS-sleutels en stelde vast dat 88 procent nog authenticeerde; de middelste leeftijd van een actieve sleutel was vijf jaar. Daaronder zaten 768 nog actieve AWS-sleutels met volledige bedrijfsrechten.

Dat onderzoek gaat over publieke toegangssleutels, niet over de Qubole-rollen en niet over dezelfde aanvaller. De vergelijking zit in de levensduur van toegang: een sleutel of vertrouwensrelatie blijft bruikbaar zolang niemand hem intrekt. Bij Qubole was de vertrouwde externe account nog gekoppeld aan klantrollen; bij de andere meting authenticeerden oude sleutels nog rechtstreeks.

Sentra’s schatting geeft de Qubole-campagne een grotere schaal dan de afzonderlijk uitgewerkte klantomgeving, maar een totaal ontbreekt. De Qubole-rollen en de oude AWS-sleutels in Truffle Security’s onderzoek zijn verschillende toegangswegen, maar bleven allebei bruikbaar zolang de toegang actief bleef. Voor een bedrijf omvat de cloudgrens elke externe rol die nog in een account staat, ook als de oorspronkelijke koppeling al is vergeten.