ConnectWise Cloud Backup के सेंधमारी वाले क्रेडेंशियल से Microsoft 365 टेनेंट में साइन-इन किया गया

ConnectWise ने अपनी Cloud Backup सेवा निलंबित कर दी है, जो Microsoft 365 का बैकअप उत्पाद है और पहले SkyKick के नाम से जाना जाता था। कंपनी को इससे जुड़ी एप्लिकेशन पहचानों तक अनधिकृत पहुंच का पता चला था। सुरक्षा कंपनियों Huntress और Todyl के साथ-साथ Microsoft ने बताया है कि एक हमलावर ने बैकअप एप्लिकेशन के क्रेडेंशियल से सीधे ग्राहकों के Microsoft 365 टेनेंट में प्रमाणीकरण किया और Microsoft Graph एक्सेस टोकन हासिल किए, जिससे उसे वे व्यापक अनुमतियां मिल गईं जो ग्राहक पहले ही इस ऐप को दे चुके थे। BleepingComputer और The Hacker News के अनुसार, Microsoft Threat Intelligence ने इसे एक सक्रिय सप्लाई-चेन हमला बताया, कहा कि उसने Graph API के ज़रिए टोही गतिविधि और बैकडोर पहुंच बनाए रखने के लिए क्रेडेंशियल जोड़ने की कोशिशें देखीं, और आकलन किया कि Directory.ReadWrite.All जैसी पहले से दी गई अनुमतियों का संभवतः दुरुपयोग हुआ।

ConnectWise ने अपनी एडवाइज़री में कहा कि उसने इस हफ्ते की शुरुआत में समस्या की पहचान की और 16 अक्टूबर को पहली बार अनधिकृत पहुंच के प्रयास की जानकारी दी। शनिवार तड़के उसने कहा कि वह Cloud Backup एप्लिकेशन की पहुंच बंद कर रही है, जिससे अगली सूचना तक बैकअप रुक गए हैं। बाद के एक अपडेट में कहा गया कि कंपनी ने सभी उपयोगकर्ताओं के लिए प्रभावित एप्लिकेशन कनेक्शनों के सर्टिफिकेट रद्द कर दिए हैं, सेवा जिन साझा क्रेडेंशियल पर निर्भर थी वे अब काम नहीं करते, और एक बाहरी इंसिडेंट रिस्पॉन्स फर्म मदद कर रही है। ConnectWise ने कहा कि तब से उसकी निगरानी वाले परिवेशों में उसे कोई सफल खतरनाक गतिविधि नहीं दिखी है और उसके पास इसका कोई सबूत नहीं है कि एन्क्रिप्टेड बैकअप आर्काइव तक पहुंच बनाई गई। उसने यह भी कहा कि सेवा की बनावट के कारण उसे ग्राहकों के डाउनस्ट्रीम परिवेशों में कोई दृश्यता नहीं मिलती, इसलिए वह खुद यह नहीं बता सकती कि कोई खास टेनेंट प्रभावित हुआ या नहीं। किसी उत्पाद खामी की इसमें भूमिका थी या नहीं, यह स्थापित नहीं हुआ है, और क्रेडेंशियल कैसे उजागर हुआ, इसकी जांच अभी जारी है। सेवा बहाल होने का कोई समय नहीं बताया गया है।

प्रभावित टेनेंट की संख्या अलग-अलग स्रोतों में अलग है। Huntress ने लिखा कि शुक्रवार को 19:00 UTC तक उसने 162 टेनेंट में अनधिकृत साइन-इन की पुष्टि की थी, और BleepingComputer ने Huntress का आंकड़ा कम से कम 162 बताया। The Hacker News ने रिपोर्ट किया कि Huntress ने 173 टेनेंट में पुष्ट अनधिकृत साइन-इन देखे थे। BleepingComputer द्वारा उद्धृत Todyl ने 9 टेनेंट में घुसपैठ की जांच की और केवल साइन-इन गतिविधि पाई; इसका कोई संकेत नहीं मिला कि हमलावर ने खाते बनाए, अनुमतियां जोड़ीं, उपयोगकर्ता लॉगिन रीसेट किए या बैकअप ऐप के ज़रिए स्थायी पहुंच हासिल की। ConnectWise की एडवाइज़री में टेनेंट की कोई संख्या नहीं दी गई है, और Huntress ने बताया कि यह क्रेडेंशियल हर उस जगह काम करता है जहां ऐप को सहमति दी गई है, इसलिए जोखिम केवल पुष्ट मामलों तक सीमित नहीं है।

Huntress ने कहा कि 15 अक्टूबर के साइन-इन 06:13 से 08:34 UTC के बीच हुए और कुछ सेकंड के अंतर पर क्रमबद्ध तरीके से एक टेनेंट से दूसरे तक बढ़े, जिसे उसने लक्ष्य-सूची पर चल रही स्क्रिप्ट का संकेत माना। उसकी निगरानी वाले लगभग 50 टेनेंट में ConnectWise Cloud Management ऐप्स के सर्विस प्रिंसिपल ने खुद को डायरेक्टरी भूमिकाएं दीं, ज़्यादातर Exchange Administrator; Huntress ने कहा कि यूज़र एजेंट वेंडर ऑटोमेशन की ओर इशारा करता था, पर उसने ConnectWise से इसकी पुष्टि नहीं की थी। एक टेनेंट में Microsoft Teams के लिए Cloud Management ऐप ने खुद को Global Administrator बनाया और लगभग 5 मिनट में एक MSP प्रबंधन एप्लिकेशन और Huntress के अपने एप्लिकेशन में नए क्रेडेंशियल जोड़े, हालांकि Huntress ने इस गतिविधि को होस्टिंग-प्रदाता IP से बाद में हुए साइन-इन के पीछे के ऑपरेटर से नहीं जोड़ा है। शनिवार के एक अपडेट में उसने कहा कि उसे उच्च स्तर का भरोसा है कि Exchange Online, Teams और SharePoint Online के Cloud Management ऐप्स का भी दुरुपयोग हुआ। जिस एक टेनेंट की उसने बारीकी से समीक्षा की, उसमें Huntress को मेल या फ़ाइलों तक पहुंच नहीं दिखी, लेकिन उसने बताया कि Graph डायरेक्टरी रीड का कोई ऑडिट रिकॉर्ड नहीं बनता।

ConnectWise सलाह देती है कि एडमिनिस्ट्रेटर बैकअप ऐप के लिए Entra साइन-इन लॉग में सर्विस प्रिंसिपल साइन-इन टैब जांचें, अपेक्षित Microsoft और Azure रेंज से बाहर के स्रोत खोजें, नए ऐप क्रेडेंशियल, अनुमति या सहमति में बदलाव और अप्रत्याशित डेटा एक्सेस की समीक्षा करें, और संबंधित लॉग सुरक्षित रखें; साथ ही उसने कहा कि केवल कोई विसंगति सेंधमारी की पुष्टि नहीं करती। Huntress की सलाह है कि बैकअप ऐप और ऐसे किसी भी ConnectWise या SkyKick ऐप को, जिसका सत्यापन न हो सके, हटाने के बजाय निष्क्रिय करें और तब तक बंद रखें जब तक ConnectWise पुष्टि न कर दे कि हर क्रेडेंशियल रीसेट हो गया है; साथ ही 13 अक्टूबर के बाद से जोड़े गए क्रेडेंशियल के लिए सभी एप्लिकेशन जांचें और अनचाही डायरेक्टरी भूमिकाएं हटाएं। उसने चेतावनी दी कि ऐप को निष्क्रिय करने से पहले से डाले गए क्रेडेंशियल नहीं हटते। Todyl ने कहा कि निष्क्रिय करने से नए टोकन रुक जाते हैं, लेकिन जारी हो चुके टोकन 90 मिनट तक इस्तेमाल हो सकते हैं और उपयोगकर्ता सेशन रद्द करने से ऐप-आधारित पहुंच खत्म नहीं होती। Microsoft सलाह देती है कि अपरिचित IP पतों से सर्विस प्रिंसिपल साइन-इन, ऐप क्रेडेंशियल में बदलाव और ऐप से जुड़े OAuth ग्रांट की जांच की जाए।