ConnectWise Cloud Backup کا افشا شدہ کریڈینشل Microsoft 365 ٹیننٹس میں سائن ان کے لیے استعمال ہوا

ConnectWise نے اپنی Cloud Backup سروس معطل کر دی ہے، جو Microsoft 365 کے لیے بیک اپ پروڈکٹ ہے اور پہلے SkyKick کے نام سے جانی جاتی تھی، کیونکہ کمپنی کو اس سے منسلک ایپلیکیشن شناختوں تک غیر مجاز رسائی کا پتا چلا۔ سکیورٹی کمپنیوں Huntress اور Todyl کے ساتھ ساتھ Microsoft نے بھی رپورٹ کیا ہے کہ ایک حملہ آور نے بیک اپ ایپلیکیشن کا کریڈینشل استعمال کر کے صارفین کے Microsoft 365 ٹیننٹس میں براہ راست تصدیق کی اور Microsoft Graph کے رسائی ٹوکن حاصل کیے، اور یوں وہ وسیع اجازتیں وراثت میں لے لیں جو صارفین پہلے ہی ایپ کو دے چکے تھے۔ BleepingComputer اور The Hacker News کے مطابق Microsoft Threat Intelligence نے اسے ایک جاری سپلائی چین حملہ قرار دیا، کہا کہ اس نے Graph API کے ذریعے جاسوسی اور بیک ڈور رسائی برقرار رکھنے کے لیے کریڈینشلز شامل کرنے کی کوششیں دیکھیں، اور اندازہ لگایا کہ پہلے سے دی گئی اجازتوں، جیسے Directory.ReadWrite.All، کا غالباً غلط استعمال کیا گیا۔

ConnectWise نے اپنی ایڈوائزری میں کہا کہ اس نے اس ہفتے کے شروع میں مسئلے کی نشاندہی کی اور 16 اکتوبر کو پہلی بار غیر مجاز رسائی کی کوشش کا انکشاف کیا۔ ہفتے کی صبح سویرے اس نے کہا کہ وہ Cloud Backup ایپلیکیشن کی رسائی منقطع کر رہی ہے، جس سے تاحکم ثانی بیک اپ رک گئے ہیں۔ بعد کی ایک اپ ڈیٹ میں کہا گیا کہ کمپنی نے تمام صارفین کے لیے متاثرہ ایپلیکیشن کنکشنز کے سرٹیفکیٹ منسوخ کر دیے ہیں، سروس جن مشترکہ کریڈینشلز پر انحصار کرتی تھی وہ اب کام نہیں کرتے، اور ایک بیرونی انسیڈنٹ رسپانس فرم مدد کر رہی ہے۔ ConnectWise نے کہا کہ اس کے بعد سے اس نے اپنی نگرانی والے ماحول میں کوئی کامیاب خطرناک سرگرمی نہیں دیکھی اور اس کے پاس اس بات کا کوئی ثبوت نہیں کہ انکرپٹڈ بیک اپ آرکائیوز تک رسائی حاصل کی گئی۔ اس نے مزید کہا کہ سروس کے ڈیزائن کی وجہ سے اسے صارفین کے ڈاؤن اسٹریم ماحول میں کچھ نظر نہیں آتا، اس لیے وہ خود یہ نہیں بتا سکتی کہ کوئی مخصوص ٹیننٹ متاثر ہوا یا نہیں۔ یہ طے نہیں ہو سکا کہ آیا پروڈکٹ کی کسی خامی کا اس میں کردار تھا، اور کریڈینشل کیسے افشا ہوا، اس کی تحقیقات جاری ہیں۔ بحالی کا کوئی وقت نہیں بتایا گیا۔

متاثرہ ٹیننٹس کی تعداد مختلف ذرائع میں مختلف ہے۔ Huntress نے لکھا کہ جمعہ کو 19:00 UTC تک اس نے 162 ٹیننٹس میں غیر مجاز سائن انز کی تصدیق کی تھی، اور BleepingComputer نے Huntress کی تعداد کم از کم 162 بتائی۔ The Hacker News نے رپورٹ کیا کہ Huntress نے 173 ٹیننٹس میں تصدیق شدہ غیر مجاز سائن انز دیکھے تھے۔ BleepingComputer کے حوالے سے Todyl نے 9 ٹیننٹس میں دراندازیوں کا جائزہ لیا اور صرف سائن ان سرگرمی پائی، اور اس بات کا کوئی اشارہ نہیں ملا کہ حملہ آور نے اکاؤنٹس بنائے، اجازتیں شامل کیں، صارفین کے لاگ انز ری سیٹ کیے یا بیک اپ ایپ کے ذریعے مستقل رسائی حاصل کی۔ ConnectWise کی ایڈوائزری میں ٹیننٹس کی کوئی تعداد نہیں دی گئی، اور Huntress نے نشاندہی کی کہ یہ کریڈینشل ہر اس جگہ کام کرتا ہے جہاں ایپ کو رضامندی دی گئی ہو، اس لیے خطرہ صرف تصدیق شدہ کیسز تک محدود نہیں۔

Huntress نے کہا کہ 15 اکتوبر کے سائن انز 06:13 اور 08:34 UTC کے درمیان ہوئے اور چند سیکنڈ کے وقفے سے ترتیب وار ٹیننٹس میں آگے بڑھے، جسے اس نے ہدف کی فہرست پر چلنے والی اسکرپٹ سمجھا۔ اس کی نگرانی والے تقریباً 50 ٹیننٹس میں ConnectWise Cloud Management ایپس کے سروس پرنسپلز نے خود کو ڈائریکٹری رولز تفویض کیے، زیادہ تر Exchange Administrator؛ Huntress نے کہا کہ یوزر ایجنٹ وینڈر آٹومیشن کی طرف اشارہ کرتا تھا مگر اس نے ConnectWise سے اس کی تصدیق نہیں کی۔ ایک ٹیننٹ میں Microsoft Teams کے لیے Cloud Management ایپ نے تقریباً پانچ منٹ میں خود کو Global Administrator بنایا اور ایک MSP مینجمنٹ ایپلیکیشن اور خود Huntress کی ایپلیکیشن میں نئے کریڈینشلز شامل کیے، تاہم Huntress نے اس سرگرمی کو ہوسٹنگ فراہم کنندہ کے IP سے بعد کے سائن انز کے پیچھے موجود آپریٹر سے نہیں جوڑا۔ ہفتے کی ایک اپ ڈیٹ میں کہا گیا کہ اسے اعلیٰ درجے کا یقین ہے کہ Exchange Online، Teams اور SharePoint Online کی Cloud Management ایپس کا بھی غلط استعمال ہوا۔ جس واحد ٹیننٹ کا اس نے باریکی سے جائزہ لیا، اس میں Huntress کو میل یا فائلوں تک رسائی نظر نہیں آئی، لیکن اس نے نشاندہی کی کہ Graph کے ذریعے ڈائریکٹری ریڈز کا کوئی آڈٹ ریکارڈ نہیں بنتا۔

ConnectWise منتظمین کو مشورہ دیتی ہے کہ وہ بیک اپ ایپ کے لیے Entra سائن ان لاگز میں سروس پرنسپل سائن انز کا ٹیب چیک کریں، متوقع Microsoft اور Azure رینجز سے باہر کے ذرائع تلاش کریں، نئے ایپ کریڈینشلز، اجازت یا رضامندی میں تبدیلیوں اور غیر متوقع ڈیٹا رسائی کا جائزہ لیں، اور متعلقہ لاگز محفوظ رکھیں، ساتھ ہی یہ واضح کرتی ہے کہ محض بے قاعدگی سے دراندازی کی تصدیق نہیں ہوتی۔ Huntress تجویز کرتی ہے کہ بیک اپ ایپ اور ConnectWise یا SkyKick کی ہر وہ ایپ جس کی تصدیق نہ ہو سکے، حذف کرنے کے بجائے غیر فعال کی جائے اور اس وقت تک بند رکھی جائے جب تک ConnectWise تصدیق نہ کر دے کہ ہر کریڈینشل ری سیٹ ہو چکا ہے، تمام ایپلیکیشنز میں 13 اکتوبر کے بعد شامل کیے گئے کریڈینشلز چیک کیے جائیں اور غیر ارادی ڈائریکٹری رولز ہٹائے جائیں۔ اس نے خبردار کیا کہ ایپ کو غیر فعال کرنے سے پہلے سے نصب کیے گئے کریڈینشلز نہیں ہٹتے۔ Todyl نے کہا کہ غیر فعال کرنے سے نئے ٹوکن بننا رک جاتے ہیں، لیکن جاری شدہ ٹوکن 90 منٹ تک قابل استعمال رہتے ہیں اور صارف سیشنز منسوخ کرنے سے ایپ پر مبنی رسائی ختم نہیں ہوتی۔ Microsoft مشورہ دیتی ہے کہ نامانوس IP پتوں سے سروس پرنسپل سائن انز، ایپ کریڈینشلز میں تبدیلیوں اور ایپ سے منسلک OAuth گرانٹس کا جائزہ لیا جائے۔