Acesso cross-account da Qubole foi abusado em ataques reais contra clientes na AWS

Segundo a Wiz, que investigou em conjunto com a Sentra e a Mandiant, um atacante usou credenciais IAM de uma conta AWS associada à Qubole (805246085872) entre 14 e 26 de outubro de 2026. Com elas, assumiu roles cross-account que os clientes criaram no onboarding, com trust policy liberando a conta do fornecedor e protegida por External ID. Todas as requisições do atacante traziam um External ID válido e todas funcionaram. A Sentra percebeu a atividade suspeita em vários clientes e repassou o caso à Wiz.

A primeira atividade veio de um IP da Mullvad VPN em 14 de outubro, usando o IAM user AIDA3W7DIFLYOLTK63SFS, que a Wiz só viu ligado a esse ator. A partir de 15 de outubro, a maior parte veio de uma VPS da OVH. Em 18 de outubro entrou um segundo IAM user (AIDAJYRRH5Y3A7AAJM2HW), que também carrega tráfego legítimo da Qubole, vindo da infraestrutura da AWS. As sessões usavam nomes com prefixo quiam-, como quiam-enum e quiam-scope-full. Na maioria dos ambientes, só o atacante fez AssumeRole a partir da conta do fornecedor em outubro: as roles estavam sem uso, mas a confiança continuava ativa.

Dentro dos ambientes, o ator enumerou serviços e coletou segredos em Lambda (GetFunctionConfiguration), Secrets Manager e SSM Parameter Store. Depois usou o TruffleHog para validar as credenciais achadas, que eram dos clientes e não do fornecedor, na AWS (GetCallerIdentity), no Entra ID e no Okta. Também baixou dados do S3 de forma oportunista, às vezes buckets inteiros em uma única sessão. Eventos de gerenciamento do CloudTrail registram o AssumeRole e o ListBuckets, mas não a leitura de objetos, então é preciso ter S3 data events ou server access logs ligados.

A Wiz achou ainda uma imagem sso_agent.iso, hospedada no IP controlado pelo ator, que parece feita para boot remoto em uma máquina-alvo, com timer de 90 minutos e reboot forçado. Carrega o driver ntfs3, o que sugere foco em Windows. A Wiz não identificou nenhum uso dela e não consegue confirmar se foi empregada. Também não ligou a campanha a outra atividade pública e vê o alvo como oportunista. Separadamente, de 8 a 11 de outubro, outro ator usou chaves de acesso AWS dos clientes, provavelmente criadas para integrações da Qubole, sem vínculo comprovado com o caso das roles.

Para quem opera ambientes AWS, a leitura é que uma role de fornecedor esquecida é uma credencial viva. Remover integrações sem uso, fixar o principal do fornecedor e aplicar aws:SourceIp (que, segundo a Wiz, sozinho teria barrado todas as tentativas) custa pouco perto de uma rotação geral de segredos. Tratar o External ID como não secreto também muda o desenho de controles.