Šta se desilo?

ConnectWise je 20. oktobra u 19:00 UTC saopštio da je prethodnog dana završio reset svih naloga i kredencijala u pogođenom Cloud Backup okruženju. Cloud Backup, SaaS Security i Cloud Management ostaju obustavljeni. Kompanija priprema obnovu u fazama i očekuje da proces traje nekoliko dana od početka, uz naknadna uputstva partnerima.

Koga pogađa?

Proveru zahtevaju Microsoft 365 tenant okruženja sa pogođenim ConnectWise/SkyKick integracijama, uključujući stare veze. Huntress je 17. oktobra prijavio aktivnost sa sumnjive adrese u gotovo 1.000 tenanta i uspešne prijave u više od 300. To nije potvrđen broj ukradenih baza, korisnika ili organizacija sa eksfiltracijom podataka.

Kako se zaštititi?

  • Držite pogođene aplikacione veze onemogućenim do zvaničnih uputstava za ponovno uključivanje.
  • Nemojte brisati aplikacije kao prvi korak; sačuvajte podešavanja i dokaze.
  • Pregledajte Service principal sign-ins i audit evidenciju u svakom upravljanom tenantu.
  • Proverite kredencijale svih aplikacija, administratorske uloge i neočekivane promene ovlašćenja.
  • Uklonite potvrđeno neovlašćene pristupe uz koordinaciju sa timom za odgovor na incidente.
  • Procenite posledice prekida rezervnih kopija i dostupnosti vraćanja podataka.

Tehnički detalji

Zloupotrebljen je aplikacioni kredencijal, a ne nužno običan korisnički API ključ. Huntress je u ažuriranju od 19. oktobra opisao dva tenanta u kojima je aplikacija sebi dodelila Global Administrator ulogu i dodala tajne drugim aplikacijama. Isključivanje prvobitne veze ne uklanja takve dodatne pristupe. Korisnički MFA ne štiti automatski app-only autentifikaciju.

Zašto je važno?

Nalazi o sačuvanim backup arhivama ne utvrđuju stanje aktivnih Microsoft 365 okruženja. Dobavljač navodi da nema indicija kompromitovanja arhiva, dok istraga početnog pristupa i ukupnog obima traje. Uspešna autentifikacija sama ne dokazuje krađu podataka, ali zahteva istragu.

Preporuka Sajber Radara

Ne završavajte proveru samo resetovanjem lozinki korisnika. Pratite promene aplikacionih identiteta i utvrdite da li su ostali dodatni putevi pristupa. Ponovno povezivanje usluga uskladite sa potvrđenim uputstvima dobavljača.