از اعتبارنامهٔ به‌خطرافتادهٔ سرویس Cloud Backup شرکت ConnectWise برای ورود به مستأجرهای Microsoft 365 استفاده شد

ConnectWise سرویس Cloud Backup، محصول پشتیبان‌گیری Microsoft 365 که پیش‌تر با نام SkyKick شناخته می‌شد، را پس از کشف دسترسی غیرمجاز به هویت‌های برنامه‌ای مرتبط با آن به حالت تعلیق درآورده است. شرکت‌های امنیتی Huntress و Todyl و همچنین Microsoft گزارش داده‌اند که مهاجم با استفاده از اعتبارنامهٔ برنامهٔ پشتیبان‌گیری مستقیماً در مستأجرهای Microsoft 365 مشتریان احراز هویت کرده و توکن‌های دسترسی Microsoft Graph به دست آورده و بدین ترتیب مجوزهای گسترده‌ای را که مشتریان پیش‌تر به این برنامه داده بودند به ارث برده است. به گزارش BleepingComputer و The Hacker News، Microsoft Threat Intelligence این رویداد را یک حملهٔ فعال زنجیرهٔ تأمین خواند، اعلام کرد که شناسایی از طریق Graph API و تلاش‌هایی برای افزودن اعتبارنامه به‌منظور حفظ دسترسی از راه درِ پشتی را مشاهده کرده است، و ارزیابی کرد که مجوزهای از پیش اعطاشده‌ای مانند Directory.ReadWrite.All احتمالاً مورد سوءاستفاده قرار گرفته‌اند.

ConnectWise در اطلاعیهٔ امنیتی خود گفت که این مشکل را اوایل همین هفته شناسایی کرده و نخستین بار در 16 اکتبر از تلاش برای دسترسی غیرمجاز خبر داده است. این شرکت صبح زود شنبه اعلام کرد که دسترسی برنامهٔ Cloud Backup را قطع می‌کند و پشتیبان‌گیری‌ها تا اطلاع ثانوی متوقف می‌شوند. در به‌روزرسانی بعدی آمده است که شرکت گواهی‌های اتصال‌های برنامهٔ آسیب‌دیده را برای همهٔ کاربران باطل کرده، اعتبارنامه‌های مشترکی که سرویس به آن‌ها متکی بود دیگر کار نمی‌کنند و یک شرکت خارجی پاسخ به حوادث در حال کمک است. ConnectWise گفت از آن زمان هیچ فعالیت تهدید موفقی در محیط‌هایی که پایش می‌کند ندیده و هیچ شواهدی مبنی بر دسترسی به آرشیوهای رمزگذاری‌شدهٔ پشتیبان ندارد. این شرکت افزود که طراحی سرویس هیچ دیدی به محیط‌های پایین‌دستی مشتریان به آن نمی‌دهد، بنابراین به‌تنهایی نمی‌تواند تشخیص دهد که آیا یک مستأجر مشخص آسیب دیده است یا نه. اینکه آیا نقصی در محصول نقشی داشته یا نه هنوز مشخص نشده است و چگونگی افشای اعتبارنامه همچنان در دست بررسی است. هیچ زمانی برای بازگرداندن سرویس اعلام نشده است.

شمار مستأجرهای آسیب‌دیده بسته به منبع متفاوت است. Huntress نوشت که تا ساعت 19:00 UTC روز جمعه، ورودهای غیرمجاز را در 162 مستأجر تأیید کرده است و BleepingComputer رقم Huntress را دست‌کم 162 گزارش کرد. The Hacker News گزارش داد که Huntress ورودهای غیرمجاز تأییدشده را در 173 مستأجر مشاهده کرده است. Todyl، به نقل از BleepingComputer، نفوذها را در 9 مستأجر بررسی کرد و تنها فعالیت ورود یافت، بدون هیچ نشانه‌ای از اینکه مهاجم حسابی ایجاد کرده، مجوزی افزوده، ورود کاربران را بازنشانی کرده یا از طریق برنامهٔ پشتیبان‌گیری ماندگاری به دست آورده باشد. اطلاعیهٔ ConnectWise تعداد مستأجرها را ذکر نمی‌کند و Huntress خاطرنشان کرد که این اعتبارنامه در هر جایی که به برنامه رضایت داده شده باشد کار می‌کند، بنابراین در معرض خطر بودن محدود به موارد تأییدشده نیست.

Huntress گفت ورودهای 15 اکتبر بین ساعت 06:13 تا 08:34 UTC انجام شد و با فاصلهٔ چند ثانیه و به ترتیبی مرتب‌شده از مستأجری به مستأجر دیگر پیش رفت، که آن را نشانهٔ اجرای یک اسکریپت بر اساس فهرستی از اهداف دانست. در حدود 50 مستأجر تحت پایش این شرکت، هویت‌های سرویس (service principal) برنامه‌های ConnectWise Cloud Management به خود نقش‌های دایرکتوری، عمدتاً Exchange Administrator، اختصاص دادند؛ Huntress گفت عامل کاربر (user agent) به خودکارسازی فروشنده اشاره داشت، اما این موضوع را با ConnectWise تأیید نکرده است. در یک مستأجر، برنامهٔ Cloud Management مربوط به Microsoft Teams خود را Global Administrator کرد و در حدود 5 دقیقه اعتبارنامه‌های جدیدی به یک برنامهٔ مدیریتی MSP و به برنامهٔ خودِ Huntress افزود، هرچند Huntress این فعالیت را به گردانندهٔ ورودهای بعدی از نشانی IP یک ارائه‌دهندهٔ میزبانی ربط نداده است. یک به‌روزرسانی در روز شنبه اعلام کرد که Huntress با اطمینان بالا معتقد است برنامه‌های Cloud Management مربوط به Exchange Online، Teams و SharePoint Online نیز مورد سوءاستفاده قرار گرفته‌اند. Huntress در تنها مستأجری که از نزدیک بررسی کرد هیچ دسترسی به ایمیل یا فایل ندید، اما خاطرنشان کرد که خواندن‌های دایرکتوری از طریق Graph هیچ ردی در گزارش‌های ممیزی باقی نمی‌گذارد.

ConnectWise به مدیران توصیه می‌کند زبانهٔ ورودهای service principal را در گزارش‌های ورود Entra برای برنامهٔ پشتیبان‌گیری بررسی کنند، به دنبال مبدأهایی خارج از محدوده‌های مورد انتظار Microsoft و Azure بگردند، اعتبارنامه‌های جدید برنامه، تغییرات در مجوزها یا رضایت‌ها و دسترسی‌های غیرمنتظره به داده‌ها را بازبینی کنند و گزارش‌های مربوط را نگه دارند؛ این شرکت یادآور شد که یک ناهنجاری به‌تنهایی نفوذ را تأیید نمی‌کند. Huntress توصیه می‌کند برنامهٔ پشتیبان‌گیری و هر برنامهٔ ConnectWise یا SkyKick که قابل تأیید نیست غیرفعال شود، نه حذف، و تا زمانی که ConnectWise تأیید کند همهٔ اعتبارنامه‌ها بازنشانی شده‌اند خاموش بماند؛ همچنین همهٔ برنامه‌ها از نظر اعتبارنامه‌های افزوده‌شده از 13 اکتبر به بعد بررسی و نقش‌های دایرکتوری ناخواسته حذف شوند. این شرکت هشدار داد که غیرفعال کردن یک برنامه، اعتبارنامه‌هایی را که پیش‌تر کار گذاشته شده‌اند حذف نمی‌کند. Todyl گفت غیرفعال‌سازی صدور توکن‌های جدید را متوقف می‌کند، اما توکن‌های صادرشده تا 90 دقیقه قابل استفاده می‌مانند و ابطال نشست‌های کاربران به دسترسی مبتنی بر برنامه پایان نمی‌دهد. Microsoft توصیه می‌کند ورودهای service principal از نشانی‌های IP ناآشنا، تغییرات در اعتبارنامه‌های برنامه و مجوزهای OAuth مرتبط با این برنامه بررسی شوند.