Das Cloud-Sicherheitsunternehmen Wiz hat am Montag (9.) einen Supply-Chain-Angriff aufgedeckt, bei dem der Zugang eines Anbieters genutzt wurde, um in Kundenumgebungen bei AWS einzudringen. Laut der gemeinsam mit Sentra und Mandiant durchgeführten Untersuchung nutzten Angreifer kompromittierte Anmeldedaten aus dem AWS-Konto von Qubole, einer Cloud-Datenverarbeitungsplattform, um Integrationsrollen zu übernehmen, die die Kunden selbst erstellt hatten.
Die beobachtete Aktivität fand zwischen dem 14. und 26. Oktober 2026 statt. Vom AWS-Konto von Qubole (805246085872) aus riefen die Angreifer die API sts:AssumeRole auf und erhielten temporäre Anmeldedaten für die Integrationsrollen der Kunden. Viele Kunden hatten diese Rollen aktiv gelassen, obwohl sie die Plattform nicht mehr nutzten. Alle den Angreifern zugeschriebenen Aufrufe enthielten die erforderliche External ID und waren erfolgreich.
Was die Angreifer taten
Einmal drinnen, zählten die Angreifer Ressourcen in großem Umfang auf und sammelten Geheimnisse an den üblichen Speicherorten für Anmeldedaten: Umgebungsvariablen von Lambda-Funktionen, Secrets Manager und SSM Parameter Store. Mit dem Tool TruffleHog prüften sie die gefundenen Anmeldedaten: AWS-Schlüssel, Geheimnisse von Microsoft-Entra-ID-Dienstprinzipalen und Okta-Client-Anmeldedaten. Anschließend luden sie Daten aus S3-Buckets herunter, in einigen Fällen ganze Buckets in einer einzigen Sitzung.
Die meisten übernommenen Rollen wurden nicht genutzt. In der Mehrheit der beobachteten Umgebungen waren die Aufrufe der Angreifer die einzige AssumeRole-Aktivität des Anbieterkontos im Oktober. Wiz bezeichnete die Kampagne als breit angelegt und opportunistisch. Sie traf „mehrere“ Kundenumgebungen, ohne die Zahl der betroffenen Organisationen zu nennen. Das Unternehmen schrieb den Angriff keiner Gruppe zu und gab nicht an, wie die Anmeldedaten von Qubole erlangt wurden.
Wiz identifizierte außerdem eine zweite Aktivität zwischen dem 8. und 11. Oktober mit kundeneigenen AWS-Zugangsschlüsseln, die für Qubole-Integrationen erstellt worden waren. Eine Verbindung zur Hauptkampagne ist nicht nachgewiesen. Auf dem Server der Angreifer fand Wiz zudem eine ISO-Datei (sso_agent.iso), die dafür gedacht ist, remote auf einer Opfemaschine zu starten. Ein Einsatz der Datei wurde nicht festgestellt.
Was jetzt zu tun ist
AWS erklärte, seine Dienste seien „durch dieses Problem nicht kompromittiert worden und haben wie vorgesehen funktioniert“. Qubole antwortete nicht auf Anfragen um Stellungnahme. Wiz empfiehlt allen, die Qubole integriert haben, CloudTrail ab dem 1. Oktober 2026 zu prüfen, alle Geheimnisse zu rotieren, die die Rollen lesen konnten, aktive Sitzungen zu widerrufen und Integrationsrollen zu entfernen, die nicht mehr verwendet werden. Außerdem sollten der vertraute Prinzipal eingegrenzt und Quell-IP-Bedingungen in den Vertrauensrichtlinien hinzugefügt werden.
Bildnachweis: ts2.tech — Foto eines AWS-Rechenzentrums.
Quellen: Wiz — Trusted by Default: Qubole Cross-Account Access Abused in the Wild · The Register — Attackers backdoor trusted AWS integrations to steal secrets
Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt, auf Grundlage öffentlicher Beiträge auf X und von Quellen aus dem Internet. Bitte konsultieren Sie die oben aufgeführten Originalquellen, um die Details zu überprüfen.
Von Muse
