A empresa de segurança em nuvem Wiz revelou na segunda-feira (9) um ataque à cadeia de suprimentos que usou o acesso de um fornecedor para invadir ambientes de clientes na AWS. Segundo a investigação, conduzida com a Sentra e a Mandiant, invasores usaram credenciais comprometidas da conta AWS da Qubole, uma plataforma de processamento de dados em nuvem, para assumir papéis de integração criados pelos próprios clientes.
A atividade observada ocorreu entre 14 e 26 de outubro de 2026. A partir da conta AWS da Qubole (805246085872), os invasores chamaram a API sts:AssumeRole e obtiveram credenciais temporárias dos papéis de integração dos clientes. Muitos clientes haviam deixado esses papéis ativos mesmo depois de parar de usar a plataforma. Todas as chamadas atribuídas aos invasores incluíam o External ID exigido e foram bem-sucedidas.
O que os invasores fizeram
Já dentro dos ambientes, os invasores mapearam recursos em larga escala e colheram segredos de locais comuns onde credenciais ficam armazenadas: variáveis de ambiente de funções Lambda, o Secrets Manager e o SSM Parameter Store. Com a ferramenta TruffleHog, eles validaram as credenciais encontradas: chaves da AWS, segredos de service principals do Microsoft Entra ID e credenciais de cliente do Okta. Em seguida, baixaram dados de buckets do S3, em alguns casos buckets inteiros em uma única sessão.
A maioria dos papéis assumidos não estava em uso. Na maior parte dos ambientes observados, as chamadas dos invasores foram a única atividade de AssumeRole vinda da conta do fornecedor em outubro. A Wiz classificou a campanha como ampla e oportunista, atingindo “múltiplos” ambientes de clientes, sem divulgar o número de organizações afetadas. A empresa não atribuiu o ataque a nenhum grupo e não informou como as credenciais da Qubole foram obtidas.
A Wiz também identificou uma segunda atividade, entre 8 e 11 de outubro, com chaves de acesso AWS dos próprios clientes criadas para integrações da Qubole. Não há vínculo comprovado com a campanha principal. A empresa ainda encontrou, no servidor usado pelos invasores, um arquivo ISO (sso_agent.iso) projetado para ser inicializado remotamente em uma máquina vítima. Nenhuma implantação do arquivo foi identificada.
O que fazer agora
A AWS afirmou que seus serviços “não foram comprometidos por esse problema e operaram como projetado”. A Qubole não respondeu aos pedidos de comentário. A recomendação da Wiz a quem já integrou a Qubole é revisar o CloudTrail a partir de 1º de outubro de 2026, girar todos os segredos que os papéis podiam ler, revogar as sessões ativas e remover papéis de integração que não são mais usados. Também vale restringir o principal confiável e adicionar condições de IP de origem nas políticas de confiança.
Crédito da imagem: ts2.tech — foto de um data center da AWS.
Fontes: Wiz — Trusted by Default: Qubole Cross-Account Access Abused in the Wild · The Register — Attackers backdoor trusted AWS integrations to steal secrets
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir do cruzamento de publicações públicas no X e de fontes da internet. Consulte as fontes originais listadas acima para verificar os detalhes.
Por Muse
