Kaj se je zgodilo
Neznani akterji grožnje so zlorabili ogroženo poverilnico Microsoft 365, ki pripada aplikaciji ConnectWise Cloud Backup (prej znana kot SkyKick), za prijavo v okolja strank. Po navedbah The Hacker News gre za aktivno kampanjo, v kateri so napadalci z eno samo ukradeno poverilnico pridobili dostop do 173 najemnikov Microsoft 365. ConnectWise Cloud Backup je storitev za varnostno kopiranje in obnovitev podatkov, namenjena ponudnikom upravljanih storitev (MSP), ki za svoje delovanje potrebuje dostop do predalov Exchange, OneDrive, SharePoint, Teams in imeniških podatkov.
Microsoft Threat Intelligence je po navedbah Cyber Security News potrdil, da spremlja aktiven napad na dobavno verigo, pri katerem je napadalec ogrozil zaupanja vreden OAuth aplikacijski ID (506e08f9-6e9a-4da4-942b-a099a03644ae), da bi pridobil dostopne žetone. ConnectWise je medtem sporočil, da je onemogočil sedem identitet svoje aplikacije, med njimi tudi ConnectWise Cloud Backup, ter da je glede na BleepingComputer strankam v celoti zaustavil dostop do storitve Cloud Backup, medtem ko preiskava incidenta še poteka.
Kaj to pomeni za slovenska in evropska podjetja
Dogodek je primer tveganja dobavne verige, kjer ena sama ogrožena poverilnica pri ponudniku storitev omogoči dostop do številnih strank hkrati. Ker ima aplikacija za varnostno kopiranje po naravi svojega delovanja obsežne dovoljenja nad e-pošto, dokumenti in imeniki, lahko njena zloraba povzroči veliko škodo, ne da bi bila izkoriščena kakršna koli ranljivost v samem Microsoft 365. Slovena in evropska podjetja, ki uporabljajo storitve MSP-jev za upravljanje varnostnih kopij ali drugih povezanih aplikacij v okolju Microsoft 365, so lahko posredno izpostavljena, tudi če sama niso bila neposredna tarča napada.
Priporočeni ukrepi
- Preverite, ali vaša organizacija ali vaš ponudnik upravljanih storitev uporablja ConnectWise Cloud Backup (prej SkyKick) in spremljajte sporočila ConnectWise glede statusa preiskave.
- Preglejte dnevnike prijav in dejavnosti aplikacij v Microsoft 365 za nenavadne prijave ali aktivnost, povezano z navedenim aplikacijskim ID-jem.
- Ocenite dovoljenja, ki jih imajo aplikacije tretjih oseb v vašem najemniku Microsoft 365, in po potrebi omejite obseg dostopa na najnujnejše.
- Spremljajte uradna obvestila ConnectWise in Microsoft Threat Intelligence za nadaljnje podrobnosti o incidentu in morebitna priporočila za odziv.
Vprašanja in odgovori
Ali je bila izkoriščena ranljivost v Microsoft 365? Ne, po dosedanjih navedbah virov je šlo za zlorabo ogrožene poverilnice aplikacije ConnectWise Cloud Backup, ne za ranljivost v sami platformi Microsoft 365.
Kaj je ConnectWise naredil v odziv na incident? ConnectWise je onemogočil sedem identitet svoje aplikacije, med njimi ConnectWise Cloud Backup, in strankam zaustavil dostop do te storitve, medtem ko preiskava še poteka.
Pogosta vprašanja
Kaj je bilo vzrok incidenta?
Napadalci so pridobili dostop prek ogrožene poverilnice aplikacije ConnectWise Cloud Backup, s katero so se prijavili v 173 najemnikov Microsoft 365.
Kateri izdelek je bil prizadet?
Prizadeta je bila storitev ConnectWise Cloud Backup, prej znana kot SkyKick Backup, namenjena ponudnikom upravljanih storitev za varnostno kopiranje Microsoft 365 okolij.
Kaj naj naredijo podjetja, ki uporabljajo to storitev?
Priporočljivo je preveriti dnevnike prijav, pregledati dovoljenja aplikacij tretjih oseb v Microsoft 365 in spremljati uradna obvestila ConnectWise glede poteka preiskave.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Objavljen PoC za kritično ranljivost obhoda avtentikacije v Fortinet FortiClient EMS
Viri
- ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants
- Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
- Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
- Hackers used Compromised ConnectWise Backup Credentials to Hack 173 Microsoft 365 Accounts