// AI 威胁新闻台 · 2026年11月15日
首页/SUPPLY · AI 供应链
AI 供应链中AWSCVSS 未有评分

Qubole AWS集成被滥用访问客户环境

Wiz观察到一名威胁行为者在2026年10月14日至10月26日期间使用与Qubole关联的AWS账户中的IAM凭证。Wiz于11月9日发布报告。

· 阅读 2 分钟
AI 生成图像，非事件现场照片
AI 生成图像，非事件现场照片。
重点
  • 一名威胁行为者在2026年10月14日至10月26日期间使用了与Qubole关联的IAM凭证。
  • 该行为者接管了信任Qubole AWS账户的客户角色，并访问资源、密钥和S3数据。
  • Wiz尚未发现其找到的可启动ISO有任何部署，也无法确认该ISO是否或如何被使用。

Wiz在11月9日发布的一份报告中表示，一名威胁行为者在2026年10月14日至10月26日期间使用与Qubole关联的AWS账户中的IAM凭证访问了多个客户环境。Wiz

该行为者接管了信任Qubole账户的客户IAM角色，随后枚举资源、收集配置和密钥、访问S3数据并验证其他凭证。Wiz表示，经过测试的凭证属于受影响组织，而非供应商。

The Hacker News表示，Qubole是Idera旗下的数据湖平台，运行在客户的AWS账户中。The Hacker NewsSentra在多个客户环境中发现可疑活动，并将其分享给Wiz，从而促成了调查。

本文目录

该行为者使用成功的AssumeRole请求和quiam-命名会话

Wiz表示，首次观察到的活动发生在10月14日，当时一个Mullvad VPN地址针对客户集成角色调用了AssumeRole。从10月15日起，大部分活动来自一个托管于OVH的地址；10月18日，该行为者开始使用同一账户中的第二个IAM用户，该用户还承载着来自AWS基础设施的合法Qubole平台流量。

归因于该行为者的每个AssumeRole请求都包含External ID，并且均获成功。角色会话名称遵循quiam-前缀，包括quiam-enum和quiam-scope-full。

查询了Lambda、Secrets Manager和SSM数据

该行为者列出了Lambda函数，并对每个函数调用GetFunctionConfiguration，该调用会返回函数环境变量。Wiz还发现了列出密钥并从Secrets Manager获取密钥值的调用，以及从SSM参数存储描述和获取参数的请求。

Wiz表示，该行为者使用TruffleHog测试在受害者环境中发现的凭证。这些凭证属于受影响组织，而非供应商。

Wiz发现一个据信为远程启动而设计的可启动ISO

Wiz发现了一个名为sso_agent.iso的ISO文件，该文件托管在该行为者的OVH地址上。Wiz表示，该可启动Linux镜像被认为是为在受害者机器上远程启动而设计的。

Wiz还发现了10月8日至10月11日期间的另一组活动，其中一名行为者使用了客户所有、据信为Qubole集成创建的AWS访问密钥。

Wiz表示，与Qubole集成的组织应从2026年10月1日起检查每个持有集成角色的账户中的CloudTrail。Wiz还表示，仅源IP条件就足以阻止其观察到的每一次角色接管。

The Hacker News报道，攻击者如何获取与Qubole关联的凭证尚未披露。Wiz尚未发现ISO文件有任何部署，也无法确认该文件是否或如何被使用。

防守方现在要做什么

  1. 从2026年10月1日起，检查每个持有集成角色的账户中的CloudTrail。
  2. 轮换被接管的集成角色可能读取的每个密钥、参数和Lambda环境变量，并撤销该角色的活动会话。
  3. 在供应商支持的情况下，将account:root主体替换为特定的供应商IAM主体，并添加aws:SourceIp或aws:SourceVpce条件，将角色接管限制在供应商记录的网络范围内。

常见问题

Qubole AWS集成发生了什么？

一名威胁行为者使用与Qubole关联的AWS账户中的IAM凭证接管客户角色，并在2026年10月14日至10月26日期间访问了多个客户环境。

与Qubole关联的行为者访问了哪些数据？

Wiz表示，该行为者枚举资源、收集配置和密钥、访问S3数据并验证其他凭证。该行为者还查询了Lambda环境变量、Secrets Manager和SSM参数存储。

Qubole AWS活动是否确认部署了ISO？

没有。Wiz发现了一个其认为为远程启动而设计的ISO，但尚未发现任何部署，也无法确认该ISO是否或如何被使用。

该行为者如何访问客户AWS角色？

该行为者使用与Qubole关联的IAM凭证接管信任Qubole账户的客户IAM角色。每个归因的AssumeRole请求都包含External ID，并且均获成功。

与Qubole集成的组织应检查什么？

Wiz表示，应从2026年10月1日起检查每个持有集成角色的账户中的CloudTrail，轮换该角色可读取的所有密钥和参数，撤销活动会话，并删除不再使用的集成角色或从信任策略中移除供应商账户。

早先与Qubole有关的活动是什么？

Wiz发现了10月8日至10月11日期间的另一组活动，涉及客户所有、据信为Qubole集成创建的AWS访问密钥。

来源

  1. Trusted by Default: Qubole Cross-Account Access Abused in the Wild | Wiz Blog, Wiz原始文件
  2. Hackers Exploit Qubole's Trusted AWS Access to Breach Customer Accounts and Steal Data, The Hacker News
我们如何核实这篇报道
内容来源状态
Wiz观察到一名威胁行为者在2026年10月14日至26日期间使用与Qubole关联的AWS账户中的IAM凭证。Wiz已证实
Wiz表示，该行为者接管了信任Qubole账户的客户IAM角色，随后枚举资源、收集密钥、访问S3数据并验证凭证。Wiz已证实
Sentra在多个客户环境中发现可疑活动，并将其分享给Wiz，从而促成了调查。Wiz已证实
Wiz表示，首次观察到的活动发生在10月14日，当时一个Mullvad VPN地址针对客户集成角色调用了AssumeRole。Wiz已证实
从10月15日起，大部分活动来自一个托管于OVH的地址；10月18日，该行为者开始使用第二个IAM用户，该用户也承载着合法的Qubole流量。Wiz已证实
归因于该威胁行为者的每个AssumeRole请求都包含External ID，并且均获成功。Wiz已证实
该行为者使用了以quiam-开头的角色会话名称，包括quiam-enum和quiam-scope-full。Wiz已证实
该行为者列出了Lambda函数并获取其环境变量、Secrets Manager中的密钥以及SSM参数存储中的参数。Wiz已证实
Wiz发现了一个托管在该行为者OVH地址上的ISO文件，并认为该文件是为在受害者机器上远程启动而设计的。Wiz已证实
Wiz尚未发现ISO有任何部署，也无法确认该ISO是否或如何被使用。Wiz已证实
Wiz还发现了10月8日至11日期间的另一组活动，其中一名行为者使用了客户所有、据信为Qubole集成创建的AWS密钥。Wiz已证实
Wiz建议删除未使用的集成角色，或从其信任策略中移除供应商账户。Wiz已证实
Wiz表示，仅源IP条件就足以阻止其观察到的每一次角色接管。Wiz已证实
The Hacker News表示，Qubole是Idera旗下的数据湖平台，运行在客户的AWS账户中。The Hacker News引述
wiz.io于2026年11月9日发布了报告。wiz.io已证实

未能核实

  • 攻击者的凭证是否已被禁用，尚未确定。
  • 活动是否已经停止，尚未确定。
  • 有多少Qubole客户或AWS账户受到影响，尚未确定。
  • ISO是否已部署或使用，尚未确定。
  • 单独的10月8日至11日访问密钥活动是否与角色接管活动有关，尚未确定。
查看全部 AI 供应链 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok