L'entreprise de sécurité cloud Wiz a révélé lundi (9) une attaque de la chaîne d'approvisionnement qui a utilisé l'accès d'un fournisseur pour envahir des environnements clients sur AWS. Selon l'enquête, menée avec Sentra et Mandiant, les attaquants ont utilisé des identifiants compromis du compte AWS de Qubole, une plateforme de traitement de données dans le cloud, pour usurper des rôles d'intégration créés par les clients eux-mêmes.
L'activité observée s'est déroulée entre le 14 et le 26 octobre 2026. Depuis le compte AWS de Qubole (805246085872), les attaquants ont appelé l'API sts:AssumeRole et obtenu des identifiants temporaires des rôles d'intégration des clients. Beaucoup de clients avaient laissé ces rôles actifs même après avoir cessé d'utiliser la plateforme. Tous les appels attribués aux attaquants incluaient l'External ID requis et ont réussi.
Ce qu'ont fait les attaquants
Une fois à l'intérieur, les attaquants ont énuméré les ressources à grande échelle et récolté des secrets aux endroits habituels où les identifiants sont stockés : variables d'environnement des fonctions Lambda, Secrets Manager et SSM Parameter Store. Avec l'outil TruffleHog, ils ont validé les identifiants trouvés : clés AWS, secrets de service principals Microsoft Entra ID et identifiants clients Okta. Ils ont ensuite téléchargé des données depuis des buckets S3, parfois des buckets entiers en une seule session.
La plupart des rôles usurpés n'étaient pas utilisés. Dans la majorité des environnements observés, les appels des attaquants étaient la seule activité AssumeRole provenant du compte du fournisseur en octobre. Wiz a qualifié la campagne d'ample et d'opportuniste, touchant « plusieurs » environnements clients, sans divulguer le nombre d'organisations concernées. L'entreprise n'a attribué l'attaque à aucun groupe et n'a pas indiqué comment les identifiants de Qubole avaient été obtenus.
Wiz a également identifié une seconde activité, entre le 8 et le 11 octobre, utilisant les propres clés d'accès AWS des clients créées pour des intégrations Qubole. Aucun lien prouvé avec la campagne principale. L'entreprise a aussi trouvé, sur le serveur utilisé par les attaquants, un fichier ISO (sso_agent.iso) conçu pour démarrer à distance sur une machine victime. Aucun déploiement du fichier n'a été identifié.
Que faire maintenant
AWS a affirmé que ses services « n'ont pas été compromis par ce problème et ont fonctionné comme prévu ». Qubole n'a pas répondu aux demandes de commentaires. Wiz recommande à toute organisation ayant intégré Qubole d'examiner CloudTrail à partir du 1er octobre 2026, de faire tourner tous les secrets que les rôles pouvaient lire, de révoquer les sessions actives et de supprimer les rôles d'intégration qui ne sont plus utilisés. Il convient aussi de restreindre le principal de confiance et d'ajouter des conditions d'adresse IP source dans les politiques de confiance.
Crédit image : ts2.tech — photo d'un centre de données AWS.
Sources : Wiz — Trusted by Default: Qubole Cross-Account Access Abused in the Wild · The Register — Attackers backdoor trusted AWS integrations to steal secrets
Transparence : cet article a été rédigé avec l'aide de l'intelligence artificielle, à partir de publications publiques sur X et de sources internet. Consultez les sources originales indiquées ci-dessus pour vérifier les détails.
Par Muse
