Šta se desilo?

ConnectWise istražuje neovlašćen pristup aplikacionim identitetima povezanima sa Cloud Backup uslugom, ranije SkyKick. Kompanija je 17. oktobra u 07:00 UTC onemogućila sedam aplikacionih identiteta i opozvala sertifikate pogođenih veza. Prema obaveštenju od 19. oktobra u 13:45 UTC, Cloud Backup, SaaS Security i Cloud Management ostaju obustavljeni, uključujući izradu rezervnih kopija, pristup arhivama i vraćanje podataka. Rok ponovnog uspostavljanja usluga nije potvrđen.

Koga pogađa?

Potrebna je provera Microsoft 365 okruženja koja imaju ili su ranije imala pogođene ConnectWise/SkyKick aplikacije, uključujući MSP naloge i upravljane korisnike. Huntress je 16. oktobra do 19:00 UTC potvrdio neovlašćene prijave u 162 tenanta. U ažuriranju od 17. oktobra navodi aktivnost sa sumnjive adrese u gotovo 1.000 Entra tenanta, sa uspešnim prijavama u više od 300. To nisu potvrđeni brojevi organizacija kojima su ukradeni podaci.

Kako se zaštititi?

Pogođene aplikacije držite onemogućenim do zvaničnih uputstava za oporavak; nemojte ih brisati kao prvi korak. Sačuvajte dostupne sign-in i audit zapise. Pregledajte kredencijale svih aplikacija, dodeljene uloge, ovlašćenja i pravila prosleđivanja pošte. Uklonite potvrđeno neovlašćene izmene uz koordinaciju sa timom za odgovor na incident.

Tehnički detalji

Huntress je u jednom tenantu zabeležio da je aplikacija Cloud Management za Teams sebi dodelila Global Administrator ulogu i dodala tajne drugim aplikacijama. Takav pristup može opstati posle isključivanja prvobitne aplikacije. Za proveru koristite i Service principal sign-ins, ne samo User sign-ins. Indikatori za istragu su 144.172.64[.]128, 144.172.64[.]99 i 144.172.64[.]60. Sama IP adresa nije dokaz krađe podataka, a privatna Azure adresa nije dokaz legitimnosti.

Zašto je važno?

Aplikacije nasleđuju prethodno odobrena ovlašćenja; MFA za korisničke naloge ne zaustavlja automatski app-only autentifikaciju. ConnectWise navodi da nema indicija kompromitovanja sačuvanih rezervnih arhiva, ali to ne utvrđuje stanje aktivnih Microsoft 365 okruženja. Onemogućavanje aplikacija ne uklanja već dodate kredencijale niti nužno trenutno poništava sve izdate tokene.

Preporuka Sajber Radara

Proverite svaki tenant, uključujući stare SkyKick integracije. Pregled proširite na druge identitete koje su sumnjive aplikacije menjale. Zabeležite prekid izrade rezervnih kopija i procenite posledice po plan oporavka. Usluge ponovo povežite tek prema potvrđenim uputstvima dobavljača.