نقض ConnectWise Cloud Backup بیش از ۱۶۰ مستاجر Microsoft 365 را در معرض خطر قرار داد

ConnectWise در روز ۱۷ اکتبر سرویس Cloud Backup خود را پس از تأیید محققان امنیتی متوقف کرد؛ مهاجمان اعتبارنامه‌های اپلیکیشن این سرویس را به سرقت برده و از آن‌ها برای دسترسی به محیط‌های Microsoft 365 مشتریان استفاده کرده بودند. این سرویس که ConnectWise آن را از SkyKick خریداری کرده، از طراحی، دسترسی‌های گسترده OAuth در مستاجران تحت مدیریت دارد — و همین دسترسی گسترده بود که آسیب این نقض را جدی کرد.

شرکت امنیتی Huntress حداقل ۱۶۲ مستاجر در معرض خطر را در محیط مانیتورینگ خود شناسایی کرد. از آنجا که ConnectWise Cloud Backup به‌عنوان یک اپلیکیشن و نه یک کاربر احراز هویت می‌کند، MFA هرگز اعمال نشد. مهاجم با استفاده از ابزاری اسکریپتی، با secret اپلیکیشن دزدیده‌شده مستقیماً احراز هویت کرد و به خواندن و نوشتن در ایمیل، فایل‌های SharePoint، داده‌های OneDrive و چت‌های Teams در تمام مستاجران دسترسی پیدا کرد.

فعالیت مخرب حداقل از ۱۳ اکتبر با تلاش‌های اسکریپتی از آدرس IP 144.172.64[.]128 آغاز شد. شرکت Todyl نه حمله را تحلیل کرد و تنها فعالیت ورود به سیستم یافت — بدون ایجاد فایل، persistence یا lateral movement. با این حال، مایکروسافت فعالیت را تأیید کرد و اعلام کرد مهاجم احتمالاً از مجوزهای Directory.ReadWrite.All سوءاستفاده کرده است. در حداقل یک مستاجر، یک اپلیکیشن Cloud Management برای اعطای دسترسی Global Administrator به خودش استفاده شد.

ConnectWise سرویس را در ساعت ۰۵:۰۱ UTC روز ۱۷ اکتبر آفلاین کرد و بازه زمانی بازگردانی را اعلام نکرده است. شرکت گفته که آرشیوهای پشتیبان موجود دست‌نخورده‌اند و نشانه‌ای از به خطر افتادن داده‌های پشتیبان شرکا وجود ندارد — اگرچه دامنه کامل دسترسی در تمام مستاجران هنوز مشخص نیست.

ارائه‌دهندگان خدمات مدیریت‌شده که از ConnectWise Cloud Backup یا Cloud Management استفاده می‌کنند باید فوراً لاگ‌های ورود service principal در Entra ID را بررسی کنند؛ فیلتر بر اساس شناسه اپلیکیشن 506e08f9-6e9a-4da4-942b-a099a03644ae. غیرفعال کردن اپلیکیشن توکن‌های جدید را متوقف می‌کند اما توکن‌های موجود را باطل نمی‌کند. مدیران همچنین باید تغییرات اعتبارنامه یا OAuth grant از ۱۳ اکتبر به بعد را بررسی کنند.

این حمله الگوی هدف قرار دادن پلتفرم‌های پشتیبان و مدیریت را دنبال می‌کند؛ چون این ابزارها از طراحی، اعتبارنامه‌های دائمی و ممتاز دارند. یک ابزار MSP که می‌تواند به تمام مستاجران تحت مدیریتش دسترسی داشته باشد، در صورت لو رفتن اعتبارنامه‌هایش، یک نقطه شکست فاجعه‌بار است.

اول بار توسط BleepingComputer گزارش شد، با تحلیل‌های تکمیلی از Huntress و Todyl.