云安全公司 Wiz 于周一（9 日）披露了一起供应链攻击：攻击者利用一家供应商的访问权限入侵了客户在 AWS 上的环境。根据与 Sentra 和 Mandiant 联合开展的调查，攻击者使用云数据处理平台 Qubole 的 AWS 账户中泄露的凭证，冒充了客户自己创建的集成角色。
观测到的活动发生在 2026 年 10 月 14 日至 26 日。攻击者从 Qubole 的 AWS 账户（805246085872）调用 sts:AssumeRole API，获取客户集成角色的临时凭证。许多客户在停用该平台后仍保留了这些角色的有效信任策略。归因于攻击者的每次调用都包含所需的 External ID，且全部成功。
攻击者做了什么
进入环境后，攻击者大规模枚举资源，并从凭证常见的存放位置窃取机密：Lambda 函数的环境变量、Secrets Manager 和 SSM Parameter Store。他们使用 TruffleHog 工具验证找到的凭证：AWS 密钥、微软 Entra ID 服务主体机密和 Okta 客户端凭证。随后从 S3 存储桶下载数据，某些情况下一次会话就下载了整个存储桶。
大多数被冒充的角色并未在使用中。在多数观测到的环境中，攻击者的调用是 10 月份来自该供应商账户的唯一 AssumeRole 活动。Wiz 将此次行动描述为范围广泛且机会主义的供应链攻击，波及“多个”客户环境，但未披露受影响组织的数目。该公司未将此次攻击归因于任何组织，也未说明 Qubole 的凭证是如何泄露的。
Wiz 还发现了第二波活动（10 月 8 日至 11 日），攻击者使用了客户为 Qubole 集成创建的自有 AWS 访问密钥，与主要攻击活动未证实存在关联。此外，Wiz 在攻击者的服务器上发现了一个 ISO 文件（sso_agent.iso），其设计目的是在受害者机器上远程启动；尚未发现该文件的实际部署。
现在该做什么
AWS 表示，其服务“未因此问题受到损害，并按设计运行”。Qubole 未回应置评请求。Wiz 建议所有集成过 Qubole 的组织审查 2026 年 10 月 1 日起的 CloudTrail 记录，轮换这些角色能够读取的所有机密，撤销活动会话，并删除不再使用的集成角色，同时收紧受信任主体并在信任策略中添加源 IP 条件。
图片来源：ts2.tech——AWS 数据中心照片。
来源：Wiz——Trusted by Default：Qubole 跨账户访问在野外被滥用 · The Register——攻击者利用受信任的 AWS 集成窃取机密
透明度声明：本文在人工智能的协助下完成，参考了 X 上的公开帖文和互联网来源。请查阅上方列出的原始来源以核实细节。
作者：Muse
