اختراق ConnectWise Cloud Backup يؤثر على أكثر من 160 مستأجرًا في Microsoft 365

أوقفت ConnectWise خدمة Cloud Backup الخاصة بها في السابع عشر من أكتوبر، بعد أن أكد باحثو الأمن أن المهاجمين اخترقوا بيانات اعتماد التطبيق واستخدموها للوصول إلى بيئات Microsoft 365 الخاصة بعملائها. هذه الخدمة التي استحوذت عليها ConnectWise من SkyKick تمتلك صلاحيات OAuth واسعة عبر المستأجرين المُدارين بحكم تصميمها — وهذا النطاق الواسع تحديدًا هو ما جعل هذا الاختراق بالغ الخطورة.

حددت شركة الأمن Huntress ما لا يقل عن 162 مستأجرًا متأثرًا في بيئة المراقبة الخاصة بها. ولأن ConnectWise Cloud Backup يُجري المصادقة بوصفه تطبيقًا لا مستخدمًا، فلم يُفعَّل MFA قط. استخدم المهاجم أداةً مكتوبة بسكريبت للمصادقة مباشرةً باستخدام السر المسروق للتطبيق، مما أتاح له إمكانية قراءة البريد الإلكتروني وملفات SharePoint وبيانات OneDrive ومحادثات Teams وكتابتها عبر جميع المستأجرين.

بدأ النشاط الخبيث في الثالث عشر من أكتوبر على الأقل، مع محاولات مكتوبة بسكريبت قادمة من عنوان IP 144.172.64[.]128. حللت شركة Todyl تسعة اختراقات ولم تجد سوى نشاط تسجيل دخول — دون إنشاء ملفات أو استمرارية أو lateral movement. غير أن مايكروسوفت أكدت النشاط وأشارت إلى أن المهاجم على الأرجح أساء استخدام صلاحيات Directory.ReadWrite.All. وفي مستأجر واحد على الأقل، استُخدم تطبيق Cloud Management لمنح نفسه صلاحيات Global Administrator.

أوقفت ConnectWise الخدمة في 05:01 بتوقيت UTC يوم 17 أكتوبر، دون الإعلان عن موعد للاستعادة. وأكدت الشركة أن الأرشيفات الاحتياطية الموجودة غير متأثرة وأنه لا يوجد ما يشير إلى اختراق بيانات النسخ الاحتياطية للشركاء — رغم أن النطاق الكامل للوصول لا يزال غير محدد.

على موفري الخدمات المُدارة الذين يستخدمون ConnectWise Cloud Backup أو Cloud Management مراجعة سجلات تسجيل دخول service principal في Entra ID فورًا، مع التصفية حسب معرف التطبيق 506e08f9-6e9a-4da4-942b-a099a03644ae. تعطيل التطبيق يوقف الرموز الجديدة لكنه لا يلغي الرموز الموجودة. يجب على المسؤولين أيضًا مراجعة تغييرات بيانات الاعتماد أو منح OAuth منذ الثالث عشر من أكتوبر.

يتبع هذا الهجوم نمطًا يستهدف منصات النسخ الاحتياطي والإدارة لأنها تحمل بيانات اعتماد دائمة ومتميزة بحكم تصميمها. أداة MSP يمكنها الوصول إلى كل مستأجر تديره تمثل نقطة فشل كارثية واحدة إذا تسربت بيانات اعتمادها.

نُشر أولاً بواسطة BleepingComputer، مع تحليلات إضافية من Huntress وTodyl.