ConnectWise Cloud Backup-এর বেহাত হওয়া ক্রেডেনশিয়াল দিয়ে Microsoft 365 টেন্যান্টে সাইন-ইন

ConnectWise তাদের Cloud Backup সেবা স্থগিত করেছে। এটি Microsoft 365-এর ব্যাকআপ পণ্য, যা আগে SkyKick নামে পরিচিত ছিল। এর সঙ্গে যুক্ত অ্যাপ্লিকেশন পরিচয়ে অননুমোদিত প্রবেশ ধরা পড়ার পর এই পদক্ষেপ নেওয়া হয়। নিরাপত্তা প্রতিষ্ঠান Huntress ও Todyl এবং Microsoft জানিয়েছে, একজন আক্রমণকারী ব্যাকআপ অ্যাপ্লিকেশনের ক্রেডেনশিয়াল দিয়ে সরাসরি গ্রাহকদের Microsoft 365 টেন্যান্টে প্রমাণীকরণ করে Microsoft Graph অ্যাক্সেস টোকেন সংগ্রহ করেছে, ফলে গ্রাহকেরা অ্যাপটিকে আগেই যে বিস্তৃত অনুমতি দিয়েছিলেন, তা আক্রমণকারীর হাতে চলে গেছে। BleepingComputer ও The Hacker News-এর তথ্য অনুযায়ী, Microsoft Threat Intelligence এটিকে একটি সক্রিয় সাপ্লাই-চেইন আক্রমণ বলে অভিহিত করেছে, জানিয়েছে যে তারা Graph API-এর মাধ্যমে তথ্য অনুসন্ধান এবং ব্যাকডোর প্রবেশাধিকার বজায় রাখতে ক্রেডেনশিয়াল যোগ করার চেষ্টা দেখেছে, এবং মূল্যায়ন করেছে যে Directory.ReadWrite.All-এর মতো আগে দেওয়া অনুমতির সম্ভবত অপব্যবহার হয়েছে।

ConnectWise তাদের অ্যাডভাইজরিতে জানিয়েছে, তারা সপ্তাহের শুরুর দিকে সমস্যাটি শনাক্ত করে এবং 16 অক্টোবর প্রথম অননুমোদিত প্রবেশের চেষ্টার কথা প্রকাশ করে। শনিবার ভোরে প্রতিষ্ঠানটি জানায়, তারা Cloud Backup অ্যাপ্লিকেশনের প্রবেশাধিকার বন্ধ করছে, ফলে পরবর্তী ঘোষণা না দেওয়া পর্যন্ত ব্যাকআপ বন্ধ থাকবে। পরের একটি আপডেটে বলা হয়, প্রতিষ্ঠানটি সব ব্যবহারকারীর জন্য প্রভাবিত অ্যাপ্লিকেশন সংযোগের সার্টিফিকেট বাতিল করেছে, সেবাটি যে শেয়ার করা ক্রেডেনশিয়ালের ওপর নির্ভর করত সেগুলো আর কাজ করে না, এবং একটি বাইরের ইনসিডেন্ট রেসপন্স প্রতিষ্ঠান সহায়তা করছে। ConnectWise জানিয়েছে, তারপর থেকে তাদের পর্যবেক্ষণাধীন পরিবেশে তারা কোনো সফল হুমকিমূলক কার্যকলাপ দেখেনি এবং এনক্রিপ্ট করা ব্যাকআপ আর্কাইভে প্রবেশ করা হয়েছে এমন কোনো প্রমাণ তাদের কাছে নেই। তারা আরও জানায়, সেবাটির নকশার কারণে গ্রাহকদের ডাউনস্ট্রিম পরিবেশে তাদের কোনো দৃষ্টি নেই, তাই কোনো নির্দিষ্ট টেন্যান্ট প্রভাবিত হয়েছে কি না, তা তারা নিজে থেকে বলতে পারে না। কোনো পণ্যের ত্রুটির ভূমিকা ছিল কি না, তা প্রতিষ্ঠিত হয়নি, এবং ক্রেডেনশিয়ালটি কীভাবে ফাঁস হয়েছে, তা এখনও তদন্তাধীন। সেবা পুনরুদ্ধারের কোনো সময় জানানো হয়নি।

প্রভাবিত টেন্যান্টের সংখ্যা উৎসভেদে ভিন্ন। Huntress লিখেছে, শুক্রবার 19:00 UTC পর্যন্ত তারা 162টি টেন্যান্টে অননুমোদিত সাইন-ইন নিশ্চিত করেছে, এবং BleepingComputer Huntress-এর সংখ্যাটি অন্তত 162 বলে জানিয়েছে। The Hacker News জানিয়েছে, Huntress 173টি টেন্যান্টে নিশ্চিত অননুমোদিত সাইন-ইন পর্যবেক্ষণ করেছে। BleepingComputer-এর উদ্ধৃতি অনুযায়ী, Todyl 9টি টেন্যান্টে অনুপ্রবেশ পরীক্ষা করে কেবল সাইন-ইন কার্যকলাপ পেয়েছে; আক্রমণকারী অ্যাকাউন্ট তৈরি করেছে, অনুমতি যোগ করেছে, ব্যবহারকারীর লগইন রিসেট করেছে বা ব্যাকআপ অ্যাপের মাধ্যমে স্থায়ী প্রবেশাধিকার পেয়েছে, এমন কোনো ইঙ্গিত মেলেনি। ConnectWise-এর অ্যাডভাইজরিতে টেন্যান্টের কোনো সংখ্যা দেওয়া নেই, এবং Huntress উল্লেখ করেছে যে অ্যাপটিকে যেখানেই সম্মতি দেওয়া হয়েছে সেখানেই ক্রেডেনশিয়ালটি কাজ করে, তাই ঝুঁকি কেবল নিশ্চিত ঘটনাগুলোর মধ্যে সীমিত নয়।

Huntress জানিয়েছে, 15 অক্টোবরের সাইন-ইনগুলো 06:13 থেকে 08:34 UTC-এর মধ্যে হয় এবং কয়েক সেকেন্ডের ব্যবধানে সাজানো ক্রমে এক টেন্যান্ট থেকে আরেক টেন্যান্টে এগোয়, যা প্রতিষ্ঠানটির মতে লক্ষ্য-তালিকা ধরে চলা একটি স্ক্রিপ্টের লক্ষণ। তাদের পর্যবেক্ষণাধীন প্রায় 50টি টেন্যান্টে ConnectWise Cloud Management অ্যাপের সার্ভিস প্রিন্সিপাল নিজেদের ডিরেক্টরি রোল দিয়েছে, যার বেশিরভাগই Exchange Administrator; Huntress বলেছে, ইউজার এজেন্ট ভেন্ডরের অটোমেশনের দিকে ইঙ্গিত করছিল, তবে তারা ConnectWise-এর কাছ থেকে তা নিশ্চিত করেনি। একটি টেন্যান্টে Microsoft Teams-এর জন্য Cloud Management অ্যাপ নিজেকে Global Administrator বানায় এবং প্রায় 5 মিনিটের মধ্যে একটি MSP ব্যবস্থাপনা অ্যাপ্লিকেশন ও Huntress-এর নিজস্ব অ্যাপ্লিকেশনে নতুন ক্রেডেনশিয়াল যোগ করে, যদিও Huntress এই কার্যকলাপকে হোস্টিং-প্রোভাইডারের IP থেকে পরে হওয়া সাইন-ইনের পেছনের অপারেটরের সঙ্গে যুক্ত করেনি। শনিবারের একটি আপডেটে তারা জানায়, Exchange Online, Teams ও SharePoint Online-এর Cloud Management অ্যাপেরও অপব্যবহার হয়েছে বলে তারা উচ্চ মাত্রায় আস্থাশীল। যে একটি টেন্যান্ট তারা নিবিড়ভাবে পর্যালোচনা করেছে, সেখানে Huntress মেইল বা ফাইলে প্রবেশ দেখেনি, তবে উল্লেখ করেছে যে Graph ডিরেক্টরি রিডের কোনো অডিট রেকর্ড থাকে না।

ConnectWise অ্যাডমিনিস্ট্রেটরদের পরামর্শ দিয়েছে ব্যাকআপ অ্যাপের জন্য Entra সাইন-ইন লগের সার্ভিস প্রিন্সিপাল সাইন-ইন ট্যাব পরীক্ষা করতে, প্রত্যাশিত Microsoft ও Azure রেঞ্জের বাইরের উৎস খুঁজতে, নতুন অ্যাপ ক্রেডেনশিয়াল, অনুমতি বা সম্মতির পরিবর্তন এবং অপ্রত্যাশিত ডেটা অ্যাক্সেস পর্যালোচনা করতে এবং প্রাসঙ্গিক লগ সংরক্ষণ করতে; একই সঙ্গে বলেছে, কেবল কোনো অসংগতি আপস নিশ্চিত করে না। Huntress পরামর্শ দিচ্ছে ব্যাকআপ অ্যাপ এবং যাচাই করা যায় না এমন যেকোনো ConnectWise বা SkyKick অ্যাপ মুছে না ফেলে নিষ্ক্রিয় করতে, ConnectWise প্রতিটি ক্রেডেনশিয়াল রিসেট হওয়ার বিষয়টি নিশ্চিত না করা পর্যন্ত সেগুলো বন্ধ রাখতে, 13 অক্টোবরের পর থেকে যোগ হওয়া ক্রেডেনশিয়ালের জন্য সব অ্যাপ্লিকেশন পরীক্ষা করতে এবং অনাকাঙ্ক্ষিত ডিরেক্টরি রোল সরাতে। তারা সতর্ক করেছে, অ্যাপ নিষ্ক্রিয় করলে আগে থেকে বসানো ক্রেডেনশিয়াল মুছে যায় না। Todyl বলেছে, নিষ্ক্রিয় করলে নতুন টোকেন বন্ধ হয়, কিন্তু ইস্যু হওয়া টোকেন 90 মিনিট পর্যন্ত ব্যবহারযোগ্য থাকে এবং ব্যবহারকারীর সেশন বাতিল করলে অ্যাপভিত্তিক প্রবেশাধিকার শেষ হয় না। Microsoft পরামর্শ দেয় অপরিচিত IP ঠিকানা থেকে সার্ভিস প্রিন্সিপাল সাইন-ইন, অ্যাপ ক্রেডেনশিয়ালের পরিবর্তন এবং অ্যাপটির সঙ্গে যুক্ত OAuth অনুমোদন পরীক্ষা করতে।