La empresa de seguridad en la nube Wiz reveló el lunes (9) un ataque a la cadena de suministro que utilizó el acceso de un proveedor para invadir entornos de clientes en AWS. Según la investigación, realizada junto con Sentra y Mandiant, los atacantes usaron credenciales comprometidas de la cuenta de AWS de Qubole, una plataforma de procesamiento de datos en la nube, para asumir roles de integración creados por los propios clientes.
La actividad observada tuvo lugar entre el 14 y el 26 de octubre de 2026. Desde la cuenta de AWS de Qubole (805246085872), los atacantes llamaron a la API sts:AssumeRole y obtuvieron credenciales temporales de los roles de integración de los clientes. Muchos clientes habían dejado estos roles activos incluso después de dejar de usar la plataforma. Todas las llamadas atribuidas a los atacantes incluían el External ID requerido y tuvieron éxito.
Qué hicieron los atacantes
Ya dentro de los entornos, los atacantes enumeraron recursos a gran escala y recolectaron secretos de los lugares habituales donde se almacenan las credenciales: variables de entorno de funciones Lambda, Secrets Manager y SSM Parameter Store. Con la herramienta TruffleHog, validaron las credenciales halladas: claves de AWS, secretos de service principals de Microsoft Entra ID y credenciales de cliente de Okta. Después descargaron datos de buckets de S3, en algunos casos buckets enteros en una sola sesión.
La mayoría de los roles asumidos no estaba en uso. En la mayor parte de los entornos observados, las llamadas de los atacantes fueron la única actividad de AssumeRole procedente de la cuenta del proveedor en octubre. Wiz calificó la campaña de amplia y oportunista, que afectó a «múltiples» entornos de clientes, sin revelar el número de organizaciones afectadas. La empresa no atribuyó el ataque a ningún grupo y no informó de cómo se obtuvieron las credenciales de Qubole.
Wiz también identificó una segunda actividad, entre el 8 y el 11 de octubre, con claves de acceso de AWS de los propios clientes creadas para integraciones de Qubole. No hay vínculo probado con la campaña principal. La empresa también encontró, en el servidor usado por los atacantes, un archivo ISO (sso_agent.iso) diseñado para iniciarse de forma remota en una máquina víctima. No se identificó ningún despliegue del archivo.
Qué hacer ahora
AWS afirmó que sus servicios «no se vieron comprometidos por este problema y funcionaron como estaba diseñado». Qubole no respondió a las solicitudes de comentarios. La recomendación de Wiz para quien haya integrado Qubole es revisar CloudTrail desde el 1 de octubre de 2026, rotar todos los secretos que los roles podían leer, revocar las sesiones activas y eliminar los roles de integración que ya no se usan. También conviene restringir el principal de confianza y añadir condiciones de IP de origen en las políticas de confianza.
Crédito de la imagen: ts2.tech — foto de un centro de datos de AWS.
Fuentes: Wiz — Trusted by Default: Qubole Cross-Account Access Abused in the Wild · The Register — Attackers backdoor trusted AWS integrations to steal secrets
Transparencia: este artículo se elaboró con ayuda de inteligencia artificial, a partir de publicaciones públicas en X y de fuentes de internet. Consulta las fuentes originales indicadas arriba para verificar los detalles.
Por Muse
