Šta se desilo?

Huntress je objavio da su napadači koristili kompromitovani kredencijal ConnectWise Cloud Backup servisa, ranije SkyKick, za pristup Microsoft 365 okruženjima. U čitljivom izvornom izveštaju navodi se 162 potvrđena okruženja do 16. oktobra u 19:00 UTC. To je vremenski ograničen nalaz, a ne konačan broj pogođenih organizacija niti broj korisničkih naloga.

Koga pogađa?

Izložene su organizacije koje su tim aplikacijama odobrile pristup svom Microsoft 365 okruženju. Huntress je u dopuni od 17. oktobra sa visokim stepenom pouzdanosti prijavio i zloupotrebu Cloud Management aplikacija za Exchange Online, MS Teams i SharePoint Online. Nema potvrde o broju pogođenih organizacija u Srbiji ili regionu.

Kako se zaštititi?

Prema preporuci Huntress-a, onemogućite pogođene aplikacije u svom okruženju, ali ih nemojte brisati. Pregledajte i ostale ConnectWise/SkyKick aplikacije. U Entra admin centru koristite Service principal sign-ins, a ne podrazumevani prikaz korisničkih prijava. Proverite audit zapise, dodeljene administratorske uloge i tajne i sertifikate dodate svim aplikacijama od 13. oktobra. Uklonite neovlašćene kredencijale i uloge uz očuvanje dokaza.

Tehnički detalji

Cloud Backup ima Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae, a Cloud Management – MS Teams 24205314-2b89-4e07-a2a4-579e898a5640. Huntress je u jednom okruženju zabeležio dodelu uloge Global Administrator Teams aplikaciji i dodavanje novih tajni drugim aplikacijama. Adresa 144.172.64.128 povezana je sa zabeleženim neovlašćenim prijavama. Ni IP adresa ni User-Agent sami po sebi nisu dovoljni za zaključak o kompromitaciji. Aktivnost je primećena i iz Microsoft cloud mreže, pa odsustvo nepoznate javne IP adrese ne isključuje napad.

Zašto je važno?

Aplikacioni tokeni nasleđuju već odobrene dozvole i ne zavise od prijave pojedinačnog korisnika ili njegovog MFA zahteva. Isključivanje prvobitne aplikacije ne uklanja tajne koje je napadač već dodao drugim aplikacijama. Potencijalni pristup pošti i datotekama ne treba poistovećivati sa potvrđenom krađom svih tih podataka.

Preporuka Sajber Radara

Sprovedite proveru pristupa zajedno sa MSP-om i bezbednosnim timom. ConnectWise je 17. oktobra objavio obustavu Cloud Backup aplikacionog pristupa, uz prekid backup usluge, i naveo da nema pokazatelja kompromitacije partnerskih backup podataka. To nije potvrda da u Microsoft 365 okruženjima nije bilo pristupa podacima. Ne uključujte pogođene aplikacije dok dobavljač ne potvrdi sanaciju i dok ne proverite lokalne kredencijale.