ConnectWise Cloud Backup'ın ele geçirilen kimlik bilgisi Microsoft 365 kiracılarında oturum açmak için kullanıldı

ConnectWise, daha önce SkyKick adıyla bilinen Microsoft 365 yedekleme ürünü Cloud Backup hizmetini, buna bağlı uygulama kimliklerine yetkisiz erişim tespit etmesinin ardından askıya aldı. Güvenlik şirketleri Huntress ve Todyl ile Microsoft, bir saldırganın yedekleme uygulamasının kimlik bilgisini kullanarak müşterilerin Microsoft 365 kiracılarında doğrudan kimlik doğrulaması yaptığını ve Microsoft Graph erişim belirteçleri elde ettiğini, böylece müşterilerin uygulamaya önceden verdiği geniş izinleri devraldığını bildirdi. BleepingComputer ve The Hacker News'e göre Microsoft Threat Intelligence olayı aktif bir tedarik zinciri saldırısı olarak nitelendirdi, Graph API üzerinden keşif faaliyeti ve arka kapı erişimini sürdürmek için kimlik bilgisi ekleme girişimleri gördüğünü söyledi ve Directory.ReadWrite.All gibi önceden verilmiş izinlerin muhtemelen kötüye kullanıldığını değerlendirdi.

ConnectWise, güvenlik bildiriminde sorunu hafta içinde daha önce tespit ettiğini ve yetkisiz erişim girişimini ilk olarak 16 Ekim'de duyurduğunu açıkladı. Cumartesi sabahın erken saatlerinde Cloud Backup uygulama erişimini kestiğini ve yedeklemeleri bir sonraki duyuruya kadar durdurduğunu bildirdi. Daha sonraki bir güncellemede şirket, etkilenen uygulama bağlantılarına ait sertifikaları tüm kullanıcılar için iptal ettiğini, hizmetin dayandığı paylaşılan kimlik bilgilerinin artık çalışmadığını ve dışarıdan bir olay müdahale firmasının destek verdiğini belirtti. ConnectWise, o zamandan bu yana izlediği ortamlarda başarılı bir tehdit faaliyeti görmediğini ve şifrelenmiş yedekleme arşivlerine erişildiğine dair hiçbir kanıtı olmadığını söyledi. Şirket ayrıca hizmetin tasarımı gereği alt müşteri ortamlarını görme imkânı bulunmadığını, bu nedenle belirli bir kiracının etkilenip etkilenmediğini kendi başına anlayamayacağını ekledi. Bir ürün açığının rol oynayıp oynamadığı tespit edilmedi; kimlik bilgisinin nasıl açığa çıktığı ise hâlâ soruşturuluyor. Hizmetin yeniden ne zaman sağlanacağına dair bir süre verilmedi.

Etkilenen kiracı sayısı kaynağa göre farklılık gösteriyor. Huntress, Cuma günü saat 19:00 UTC itibarıyla 162 kiracıda yetkisiz oturum açmaları doğruladığını yazdı; BleepingComputer de Huntress'in rakamını en az 162 olarak aktardı. The Hacker News ise Huntress'in 173 kiracıda doğrulanmış yetkisiz oturum açmalar gözlemlediğini bildirdi. BleepingComputer'ın aktardığına göre Todyl, dokuz kiracıdaki sızmaları inceledi ve yalnızca oturum açma faaliyeti buldu; saldırganın hesap oluşturduğuna, izin eklediğine, kullanıcı oturum açma bilgilerini sıfırladığına veya yedekleme uygulaması aracılığıyla kalıcılık sağladığına dair hiçbir belirti yoktu. ConnectWise'ın bildirimi kiracı sayısı vermiyor; Huntress ise kimlik bilgisinin uygulamaya onay verilen her yerde çalıştığını, dolayısıyla risk altındaki ortamların doğrulanmış vakalarla sınırlı olmadığını belirtti.

Huntress, 15 Ekim'deki oturum açmaların 06:13 ile 08:34 UTC arasında gerçekleştiğini ve kiracılar arasında sıralı biçimde birkaç saniye arayla ilerlediğini söyledi; şirket bunu bir hedef listesi üzerinden çalışan bir betik olarak yorumladı. İzlediği yaklaşık 50 kiracıda ConnectWise Cloud Management uygulamalarına ait hizmet sorumluları kendilerine dizin rolleri, çoğunlukla Exchange Administrator rolü atadı; Huntress, kullanıcı aracısının satıcı otomasyonuna işaret ettiğini ancak bunu ConnectWise ile doğrulamadığını belirtti. Bir kiracıda Microsoft Teams için Cloud Management uygulaması kendini Global Administrator yaptı ve yaklaşık beş dakika içinde bir MSP yönetim uygulamasına ve Huntress'in kendi uygulamasına yeni kimlik bilgileri ekledi; ancak Huntress bu faaliyeti, daha sonra barındırma sağlayıcısı IP'sinden yapılan oturum açmaların arkasındaki operatörle ilişkilendirmedi. Cumartesi günkü bir güncellemede Huntress, Exchange Online, Teams ve SharePoint Online Cloud Management uygulamalarının da kötüye kullanıldığından yüksek düzeyde emin olduğunu açıkladı. Yakından incelediği tek kiracıda Huntress herhangi bir e-posta veya dosya erişimi görmedi, ancak Graph dizin okumalarının denetim kaydı bırakmadığını not etti.

ConnectWise, yöneticilere Entra oturum açma günlüklerinin hizmet sorumlusu oturum açmaları sekmesinde yedekleme uygulamasını kontrol etmelerini, beklenen Microsoft ve Azure aralıkları dışındaki kaynakları aramalarını, yeni uygulama kimlik bilgilerini, izin ya da onay değişikliklerini ve beklenmedik veri erişimini incelemelerini, ilgili günlükleri saklamalarını öneriyor; tek başına bir anormalliğin ihlali doğrulamadığını belirtiyor. Huntress, yedekleme uygulamasının ve doğrulanamayan her ConnectWise veya SkyKick uygulamasının silinmeyip devre dışı bırakılmasını ve ConnectWise tüm kimlik bilgilerinin sıfırlandığını teyit edene dek kapalı tutulmasını, 13 Ekim'den beri tüm uygulamalara eklenen kimlik bilgilerinin denetlenmesini ve istenmeyen dizin rollerinin kaldırılmasını öneriyor. Huntress, devre dışı bırakmanın önceden yerleştirilmiş kimlik bilgilerini silmediği uyarısında bulundu. Todyl, devre dışı bırakmanın yeni belirteçleri durdurduğunu, ancak verilen belirteçlerin 90 dakikaya kadar geçerli kaldığını ve kullanıcı oturumlarını iptal etmenin uygulama tabanlı erişimi bitirmediğini söyledi. Microsoft, tanıdık olmayan IP adreslerinden hizmet sorumlusu oturum açmalarının, uygulama kimlik bilgisi değişikliklerinin ve uygulamaya bağlı OAuth izinlerinin incelenmesini öneriyor.