// AI 威脅新聞台 · 2026年11月15日
首頁/SUPPLY · AI 供應鏈
AI 供應鏈中AWSCVSS 未有評分

Qubole AWS整合遭濫用以存取客戶環境

Wiz觀察到，2026年10月14日至26日期間，有威脅行為者使用與Qubole相關AWS帳戶的IAM憑證。Wiz於11月9日發表報告。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • 威脅行為者於2026年10月14日至26日期間使用與Qubole相關的IAM憑證。
  • 行為者假冒信任Qubole AWS帳戶的客戶角色，存取資源、密碼及S3數據。
  • Wiz尚未發現有人部署所找到的可啟動ISO檔案，亦無法確認該檔案是否或如何被使用。

Wiz在11月9日發表的報告表示，威脅行為者於2026年10月14日至26日期間，使用與Qubole相關AWS帳戶的IAM憑證，存取多個客戶環境。

行為者假冒信任Qubole帳戶的客戶IAM角色，繼而列舉資源、收集配置和密碼、存取S3數據，以及驗證額外憑證。Wiz表示，經測試的憑證屬受影響機構，而非供應商所有。

The Hacker News表示，Qubole是由Idera擁有的數據湖平台，在客戶AWS帳戶內運作。Sentra在數個客戶環境發現可疑活動，並與Wiz分享，促成調查。

本文目錄

行為者成功使用AssumeRole請求並命名工作階段quiam-

Wiz表示，首次觀察到的活動發生於10月14日，當時一個Mullvad VPN地址向客戶整合角色呼叫AssumeRole。由10月15日起，大部分活動來自OVH託管地址；10月18日，行為者開始使用同一帳戶的第二名IAM用戶，該用戶亦承載來自AWS基礎設施的合法Qubole平台流量。

所有歸因於行為者的AssumeRole請求均包含External ID並成功。角色工作階段名稱均以quiam-為前綴，包括quiam-enum及quiam-scope-full。

查詢Lambda、Secrets Manager及SSM數據

行為者列出Lambda函數，並對每個函數呼叫GetFunctionConfiguration；該操作會返回函數環境變數。Wiz亦發現對Secrets Manager列出密碼及擷取密碼值的呼叫，以及從SSM Parameter Store描述及取得參數的請求。

Wiz表示，行為者使用TruffleHog測試在受害者環境中找到的憑證。這些憑證屬受影響機構，而非供應商所有。

Wiz發現一個相信為遠程啟動而設計的可啟動ISO

Wiz發現一個名為sso_agent.iso的ISO檔案，託管於行為者的OVH地址。Wiz表示，該可啟動Linux映像被認為是為在受害者機器上遠程啟動而設計。

Wiz亦發現10月8日至11日期間的另一宗活動，行為者使用相信是為Qubole整合而建立、由客戶擁有的AWS存取金鑰。

Wiz表示，與Qubole整合的機構應在每個持有整合角色的帳戶中，檢視自2026年10月1日起的CloudTrail。Wiz亦表示，單靠來源IP條件，便可阻截其觀察到的每次角色假冒。

The Hacker News報導，攻擊者如何取得與Qubole相關的憑證尚未披露。Wiz尚未發現ISO檔案有任何部署，亦無法確認該檔案是否或如何被使用。

防守方現在要做甚麼

  1. 在每個持有整合角色的帳戶中，檢視自2026年10月1日起的CloudTrail。
  2. 輪換被假冒整合角色可讀取的所有密碼、參數及Lambda環境變數，並撤銷該角色的有效工作階段。
  3. 在供應商支援的情況下，以特定供應商IAM主體取代account:root主體，並加入aws:SourceIp或aws:SourceVpce條件，限制角色假冒只能來自供應商公布的網絡範圍。

常見問題

Qubole AWS整合發生甚麼事？

威脅行為者使用與Qubole相關AWS帳戶的IAM憑證，假冒客戶角色，於2026年10月14日至26日期間存取多個客戶環境。

與Qubole相關的行為者存取了甚麼數據？

Wiz表示，行為者列舉資源、收集配置和密碼、存取S3數據，以及驗證額外憑證。行為者亦查詢Lambda環境變數、Secrets Manager及SSM Parameter Store。

是否已確認Qubole AWS行動部署ISO？

否。Wiz發現一個相信是為遠程啟動而設計的ISO，但尚未發現任何部署，亦無法確認該檔案是否或如何被使用。

行為者如何存取客戶AWS角色？

行為者使用與Qubole相關的IAM憑證，假冒信任Qubole帳戶的客戶IAM角色。每個歸因於行為者的AssumeRole請求均包含External ID並成功。

與Qubole整合的機構應檢視甚麼？

Wiz表示，應在每個持有整合角色的帳戶中檢視自2026年10月1日起的CloudTrail，輪換該角色可讀取的所有密碼和參數、撤銷有效工作階段，並刪除不再使用的整合角色或從信任政策中移除供應商帳戶。

較早前的Qubole相關活動是甚麼？

Wiz發現10月8日至11日期間的另一宗活動，涉及相信是為Qubole整合而建立、由客戶擁有的AWS存取金鑰。

來源

  1. Trusted by Default: Qubole Cross-Account Access Abused in the Wild | Wiz Blog, Wiz原始文件
  2. Hackers Exploit Qubole's Trusted AWS Access to Breach Customer Accounts and Steal Data, The Hacker News
我們如何核實這篇報道
內容來源狀態
Wiz觀察到威脅行為者於2026年10月14日至26日期間，使用與Qubole相關AWS帳戶的IAM憑證。Wiz已證實
Wiz表示，行為者假冒信任Qubole帳戶的客戶IAM角色，繼而列舉資源、收集密碼、存取S3數據及驗證憑證。Wiz已證實
Sentra在數個客戶環境發現可疑活動，並與Wiz分享，促成調查。Wiz已證實
Wiz表示，首次觀察到的活動發生於10月14日，當時一個Mullvad VPN地址向客戶整合角色呼叫AssumeRole。Wiz已證實
由10月15日起，大部分活動來自OVH託管地址；10月18日，行為者開始使用另一名亦承載合法Qubole流量的IAM用戶。Wiz已證實
所有歸因於威脅行為者的AssumeRole請求均包含External ID並成功。Wiz已證實
行為者使用以quiam-開頭的角色工作階段名稱，包括quiam-enum及quiam-scope-full。Wiz已證實
行為者列出Lambda函數並取得其環境變數、Secrets Manager內的密碼，以及SSM Parameter Store的參數。Wiz已證實
Wiz發現託管於行為者OVH地址的ISO檔案，並相信該檔案是為在受害者機器上遠程啟動而設計。Wiz已證實
Wiz尚未發現ISO有任何部署，亦無法確認該檔案是否或如何被使用。Wiz已證實
Wiz亦發現10月8日至11日期間的另一宗活動，行為者使用相信是為Qubole整合而建立、由客戶擁有的AWS金鑰。Wiz已證實
Wiz建議刪除未使用的整合角色，或從其信任政策移除供應商帳戶。Wiz已證實
Wiz表示，單靠來源IP條件，便可阻截其觀察到的每次角色假冒。Wiz已證實
The Hacker News表示，qubole是由Idera擁有的數據湖平台，在客戶AWS帳戶內運作。The Hacker News引述
wiz.io於2026年11月9日發表報告。wiz.io已證實

未能核實

  • 行為者的憑證是否已被停用，尚未確定。
  • 有關活動是否已停止，尚未確定。
  • 有多少Qubole客戶或AWS帳戶受影響，尚未確定。
  • ISO是否已部署或使用，尚未確定。
  • 另一宗10月8日至11日的存取金鑰活動是否與角色假冒行動有關，尚未確定。
查看全部 AI 供應鏈 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok