Ar nozagtu ConnectWise lietotnes atslēgu uzbrucēji iekļūst uzņēmumu Microsoft 365 vidēs

ASV uzņēmums ConnectWise, kas izstrādā rīkus IT pakalpojumu sniedzējiem, apturējis savu Microsoft 365 rezerves kopiju pakalpojumu Cloud Backup, agrāk pazīstamu kā SkyKick. Iemesls ir nesankcionēta piekļuve pakalpojuma lietotņu identitātēm, ar kurām uzbrucēji ielauzušies klientu Microsoft 365 vidēs. Pirmo paziņojumu uzņēmums publicēja 16. oktobrī, bet jaunākā informācija tā drošības centrā atjaunināta svētdienas naktī.

Incidents ir bīstams tāpēc, ka rezerves kopiju lietotnei klienta vidē parasti ir plašas tiesības lasīt pastu, SharePoint un Teams datus, un tā strādā bez lietotāja pieslēgšanās. Kā skaidro kiberapdrošinātājs Coalition, tas nozīmē, ka ikviens, kam ir lietotnes akreditācijas dati, var piekļūt visām vidēm, kas to apstiprinājušas, un daudzfaktoru autentifikācija šādu pieslēgšanos neaptur. Tā kā IT pakalpojumu sniedzēji vienu rezerves kopiju piegādātāju bieži izmanto daudziem klientiem, viens incidents var skart lielu skaitu organizāciju.

Drošības uzņēmums Huntress apstiprināja, ka nozagts ConnectWise Cloud Backup API noslēpums tiek izmantots, lai piekļūtu klientu vidēm. Saskaņā ar BleepingComputer Huntress savā klientu lokā atklāja vismaz 162 kompromitētas vides. Vēlākā atjauninājumā Huntress norāda, ka gandrīz 1000 Microsoft Entra vidēs redzami pieslēgšanās mēģinājumi no uzbrucēja IP adreses, un vairāk nekā 300 no tiem bijuši veiksmīgi. Vienā vidē cita ConnectWise lietotne pati sev piešķīra globālā administratora tiesības un pievienoja jaunus akreditācijas datus vēl divām lietotnēm, tostarp Huntress lietotnei.

Huntress arī ziņo par otru, mērķtiecīgu uzbrukumu vilni 15. oktobrī, kas bija vērsts pret 16 vidēm politikas, nacionālās drošības, tirdzniecības un kritisko izejvielu nozarēs. Šie mēģinājumi bija neveiksmīgi, jo lielākajā daļā šo vidu ConnectWise lietotņu nebija. Microsoft, kā raksta BleepingComputer, incidentu raksturojis kā aktīvu piegādes ķēdes uzbrukumu un novērojis arī mēģinājumus vidēs nostiprināties ar papildu akreditācijas datiem.

ConnectWise 17. oktobrī atslēdza septiņas savas lietotņu identitātes un atsauca sertifikātus. Uzņēmums norāda, ka saglabātie rezerves kopiju arhīvi ir šifrēti un izolēti un nav pierādījumu, ka tiem būtu piekļūts. Tomēr plānotās rezerves kopijas pašlaik neveidojas un datus atjaunot nevar. Piesardzības nolūkā uz laiku atslēgti arī pakalpojumi SaaS Security un Cloud Management. Pakalpojuma atjaunošanas laiku uzņēmums vēl nav nosaucis.

Kā uzbrucēji ieguva piegādātāja akreditācijas datus un cik daudz datu nozagts, pagaidām nav skaidrs. Drošības uzņēmums Todyl deviņās pārbaudītajās vidēs atrada tikai pieslēgšanās darbības, nevis jaunus kontus vai tiesību izmaiņas.

ConnectWise un drošības uzņēmumi iesaka administratoriem atspējot skartās lietotnes, nevis tās dzēst, saglabāt pieslēgšanās un audita žurnālus un pārbaudīt, vai kopš 13. oktobra lietotnēm nav pievienoti sveši noslēpumi vai sertifikāti. Lietotnes atslēgšana neizdzēš jau pievienotus akreditācijas datus, tāpēc tie jāpārskata atsevišķi. Ieteikumi attiecas uz ikvienu organizāciju, kas pakalpojumu izmanto pati vai caur IT pakalpojumu sniedzēju.