استخدام بيانات اعتماد مخترقة لخدمة Cloud Backup من ConnectWise لتسجيل الدخول إلى مستأجري Microsoft 365

علّقت ConnectWise خدمة Cloud Backup، وهي منتج النسخ الاحتياطي لـ Microsoft 365 المعروف سابقًا باسم SkyKick، بعد اكتشاف وصول غير مصرح به إلى هويات تطبيقات مرتبطة بها. وأفادت شركتا الأمن Huntress و Todyl، إلى جانب Microsoft، بأن مهاجمًا استخدم بيانات اعتماد تطبيق النسخ الاحتياطي للمصادقة مباشرة على مستأجري Microsoft 365 التابعين للعملاء والحصول على رموز وصول Microsoft Graph، ليرث بذلك الصلاحيات الواسعة التي سبق أن منحها العملاء للتطبيق. ووفقًا لـ BleepingComputer و The Hacker News، وصفت Microsoft Threat Intelligence ما جرى بأنه هجوم نشط على سلسلة التوريد، وقالت إنها رصدت عمليات استطلاع عبر Graph API ومحاولات لإضافة بيانات اعتماد للإبقاء على وصول عبر باب خلفي، وقدّرت أن صلاحيات ممنوحة سابقًا مثل Directory.ReadWrite.All قد أُسيء استخدامها على الأرجح.

وقالت ConnectWise في نشرتها الاستشارية إنها رصدت المشكلة في وقت سابق من الأسبوع، وكشفت لأول مرة عن محاولة وصول غير مصرح به في 16 أكتوبر. وفي وقت مبكر من يوم السبت قالت إنها تقطع وصول تطبيق Cloud Backup، ما أوقف عمليات النسخ الاحتياطي حتى إشعار آخر. وذكر تحديث لاحق أن الشركة ألغت الشهادات الخاصة باتصالات التطبيق المتأثرة لجميع المستخدمين، وأن بيانات الاعتماد المشتركة التي كانت الخدمة تعتمد عليها لم تعد تعمل، وأن شركة خارجية للاستجابة للحوادث تقدم المساعدة. وقالت ConnectWise إنها لم ترصد منذ ذلك الحين أي نشاط ناجح للتهديد في البيئات التي تراقبها، وإنه لا يوجد لديها دليل على الوصول إلى أرشيفات النسخ الاحتياطي المشفرة. وأضافت أن تصميم الخدمة لا يمنحها أي رؤية لبيئات العملاء النهائية، لذا لا يمكنها أن تحدد بمفردها ما إذا كان مستأجر معين قد تأثر. ولم يثبت بعد ما إذا كان لخلل في المنتج دور في ذلك، ولا تزال كيفية كشف بيانات الاعتماد قيد التحقيق. ولم يُحدَّد أي موعد لاستعادة الخدمة.

ويختلف عدد المستأجرين المتأثرين باختلاف المصدر. فقد كتبت Huntress أنها أكدت، حتى الساعة 19:00 UTC يوم الجمعة، حدوث عمليات تسجيل دخول غير مصرح بها في 162 مستأجرًا، ونقل BleepingComputer رقم Huntress على أنه 162 على الأقل. أما The Hacker News فأفاد بأن Huntress رصدت عمليات تسجيل دخول غير مصرح بها مؤكدة في 173 مستأجرًا. وبحسب ما نقله BleepingComputer، فحصت Todyl عمليات اختراق في 9 مستأجرين ولم تجد سوى نشاط تسجيل دخول، دون أي مؤشر على أن المهاجم أنشأ حسابات أو أضاف صلاحيات أو أعاد تعيين بيانات دخول المستخدمين أو حقق استمرارية عبر تطبيق النسخ الاحتياطي. ولا تذكر النشرة الاستشارية لـ ConnectWise عدد المستأجرين، وأشارت Huntress إلى أن بيانات الاعتماد تعمل في أي مكان مُنح فيه التطبيق الموافقة، لذا فإن التعرض للخطر لا يقتصر على الحالات المؤكدة.

وقالت Huntress إن عمليات تسجيل الدخول في 15 أكتوبر جرت بين 06:13 و 08:34 UTC وتنقلت بين المستأجرين بفاصل بضع ثوانٍ وبترتيب مُفرَز، وهو ما فسرته على أنه نص برمجي يعمل انطلاقًا من قائمة أهداف. وفي نحو 50 مستأجرًا تراقبها، أسندت كيانات الخدمة الخاصة بتطبيقات ConnectWise Cloud Management إلى نفسها أدوارًا في الدليل، معظمها دور Exchange Administrator؛ وقالت Huntress إن وكيل المستخدم أشار إلى أتمتة من جانب المورّد، لكنها لم تتحقق من ذلك مع ConnectWise. وفي أحد المستأجرين، منح تطبيق Cloud Management الخاص بـ Microsoft Teams نفسه دور Global Administrator وأضاف بيانات اعتماد جديدة إلى تطبيق إدارة تابع لـ MSP وإلى تطبيق Huntress نفسها في نحو 5 دقائق، رغم أن Huntress لم تربط هذا النشاط بالجهة المشغلة التي تقف وراء عمليات تسجيل الدخول اللاحقة من عنوان IP تابع لمزود استضافة. وذكر تحديث يوم السبت أنها على ثقة عالية بأن تطبيقات Cloud Management الخاصة بـ Exchange Online و Teams و SharePoint Online قد أُسيء استخدامها أيضًا. وفي المستأجر الوحيد الذي راجعته عن كثب، لم ترصد Huntress أي وصول إلى البريد أو الملفات، لكنها أشارت إلى أن عمليات القراءة من الدليل عبر Graph لا تترك أي أثر في سجلات التدقيق.

وتنصح ConnectWise المسؤولين بفحص علامة تبويب تسجيلات دخول كيانات الخدمة في سجلات تسجيل الدخول في Entra الخاصة بتطبيق النسخ الاحتياطي، والبحث عن مصادر خارج نطاقات Microsoft و Azure المتوقعة، ومراجعة بيانات اعتماد التطبيقات الجديدة والتغييرات في الصلاحيات أو الموافقات وأي وصول غير متوقع إلى البيانات، والاحتفاظ بالسجلات ذات الصلة، مشيرة إلى أن وجود حالة شاذة وحده لا يؤكد حدوث اختراق. وتوصي Huntress بتعطيل تطبيق النسخ الاحتياطي، لا حذفه، وكذلك أي تطبيق تابع لـ ConnectWise أو SkyKick لا يمكن التحقق منه، وإبقائها معطلة إلى أن تؤكد ConnectWise إعادة تعيين جميع بيانات الاعتماد، وفحص جميع التطبيقات بحثًا عن بيانات اعتماد أضيفت منذ 13 أكتوبر، وإزالة أدوار الدليل غير المقصودة. وحذرت من أن تعطيل التطبيق لا يزيل بيانات الاعتماد التي زُرعت بالفعل. وقالت Todyl إن التعطيل يوقف إصدار رموز جديدة، لكن الرموز الصادرة تظل قابلة للاستخدام لمدة تصل إلى 90 دقيقة، وإن إلغاء جلسات المستخدمين لا ينهي الوصول القائم على التطبيق. وتنصح Microsoft بفحص تسجيلات دخول كيانات الخدمة من عناوين IP غير مألوفة، والتغييرات في بيانات اعتماد التطبيقات، ومنح OAuth المرتبطة بالتطبيق.