Vergessene AWS-Rollen öffnen Hackern Kundenkonten

Angreifer haben über Zugangsdaten zum AWS-Konto des Anbieters Qubole die Cloud-Umgebungen zahlreicher Kunden kompromittiert und dort Secrets und Daten gestohlen. Das berichtet das Cloud-Sicherheitsunternehmen Wiz, das die Kampagne gemeinsam mit Sentra und Mandiant untersucht hat. Sie lief vom 14. bis zum 26. Oktober 2026 und betraf laut BleepingComputer Dutzende Unternehmen. Entdeckt hatte die Aktivität Sentra in den Umgebungen mehrerer eigener Kunden. Qubole bietet eine Plattform für die Verarbeitung und Analyse großer Datenmengen in der Cloud an.

Vertrauen über Kontogrenzen

Unternehmen können Drittanbietern wie Qubole über kontoübergreifende IAM-Rollen Zugriff auf ihre AWS-Ressourcen gewähren. Der Anbieter erhält über die Schnittstelle AssumeRole des AWS Security Token Service temporäre Zugangsdaten für die Ressourcen seiner Kunden. Die Angreifer hatten zwei IAM-Nutzer im AWS-Konto von Qubole kompromittiert, den zweiten ab dem 18. Oktober. Darüber übernahmen sie Rollen in Kundenkonten, die Qubole weiterhin vertrauten, obwohl sie teils seit Langem nicht mehr genutzt wurden. Viele Unternehmen hatten diese Vertrauensbeziehungen laut Wiz nach dem Ende der Nutzung von Qubole nicht entfernt. Die zusätzlich verlangte External ID gilt nach Angaben von AWS nicht als Geheimnis, sondern ist für jeden mit Zugriff auf die Rolle sichtbar.

Secrets gesammelt und geprüft

In den Kundenumgebungen erkundeten die Angreifer die Ressourcen, lasen Secrets aus AWS Secrets Manager und dem SSM Parameter Store aus und werteten Umgebungsvariablen von Lambda-Funktionen aus. Zudem kopierten sie Daten aus S3-Speichern. Mit dem Werkzeug TruffleHog prüften sie, ob gefundene AWS-Schlüssel, Client-Secrets für Microsoft Entra ID und Zugangsdaten für Okta gültig sind. Wiz beobachtete außerdem eine separate Kampagne vom 8. bis 11. Oktober, bei der Angreifer AWS-Zugangsschlüssel von Kunden nutzten, die vermutlich für die Anbindung an Qubole eingerichtet worden waren. Wie die Angreifer an die Zugangsdaten von Qubole gelangten, ist nicht bekannt. AWS erklärte, die eigenen Dienste seien nicht kompromittiert worden. Qubole und die Muttergesellschaft Idera hatten sich bis zum 11. November nicht öffentlich geäußert.

Nicht genutzte Rollen entfernen

Wiz empfiehlt betroffenen Unternehmen, die CloudTrail-Protokolle ab dem 1. Oktober auf Zugriffe aus dem AWS-Konto von Qubole zu prüfen und anschließende Zugriffe auf Secrets und S3 zu untersuchen. Offengelegte Zugangsdaten sollten ausgetauscht und aktive Sitzungen der Rollen widerrufen werden. Grundsätzlich sollten Unternehmen Vertrauensbeziehungen zu Drittanbietern entfernen, die sie nicht mehr nutzen. Um den Diebstahl einzelner S3-Objekte nachzuweisen, müssen S3-Datenereignisse oder Server-Zugriffsprotokolle aktiviert sein. Zuletzt hatte auch ein Angriff auf Anwendungsidentitäten des MSP-Anbieters ConnectWise gezeigt, wie Angreifer über Zugänge von Dienstleistern in Kundenumgebungen gelangen.

(red)