Támadás miatt állnak a ConnectWise felhős mentései és visszaállításai
Nemcsak az új biztonsági mentések, hanem a visszaállítások és az archívumok elérése is szünetel a ConnectWise Cloud Backup szolgáltatásában. A cég támadás miatt függesztette fel ezt, majd a SaaS Security és a Cloud Management működését is. A Huntress szerint megszerzett alkalmazáshitelesítő adattal jutottak be ügyfelek Microsoft 365-környezeteibe.
A leállítás a mentéstől a licenckezelésig ér
A ConnectWise október 17-én függesztette fel a korábban SkyKick néven ismert Cloud Backup szolgáltatást. Ekkor nagyjából 12 órája vizsgálta a gyanús tevékenységet. A vállalat közlése szerint jogosulatlan hozzáférést észleltek a mentési környezet alkalmazásazonosságaihoz, ezért partnerei és azok ügyfelei védelmében megszüntette az alkalmazások hozzáférését.
Másnap a SaaS Security és a Cloud Management működését is felfüggesztette, hogy védelmi intézkedéseket vezessen be. A korlátozás az ütemezett mentéseket, az archívumok elérését és a visszaállításokat érinti. Szünetel továbbá a biztonsági megfigyelés és riasztás, valamint a felhasználók és licencek kezelése is. A beszámoló nem ad várható helyreállítási időpontot.
A cég szerint a tárolt mentések védettek maradtak
A szolgáltatások felfüggesztésekor a ConnectWise azt közölte, hogy az ügyfelek biztonsági másolatai továbbra is titkosítottak és védettek. A vállalat szerint nincs bizonyítéka arra, hogy ezekhez jogosulatlanul hozzáfértek volna.
A Huntress vizsgálata közben az alkalmazásokon keresztüli belépéseket tárta fel. A biztonsági cég szerint a megszerzett Cloud Backup-hitelesítő adatot október 15-én használták Microsoft 365-környezetek elérésére. Az alkalmazásazonosság bejelentkezéseit október 15. és 16. között 162 ilyen ügyfélkörnyezetben figyelték meg. Ezeket a Microsoft saját bejelentkezési naplói rögzítették.
A közel 1000 Entra-környezet nem ugyanannyi sikeres behatolás
Október 17-ig a Huntress közel 1000 Entra-bérlőben azonosított bejelentkezési tevékenységet a támadó IP-címéről. A bejelentkezések közül több mint 300 sikeres volt, de a kutatók hangsúlyozták: ez nem minden esetben jelentett tényleges hozzáférést. Ahol hiányzott a megfelelő ConnectWise-alkalmazásazonosság, ott a támadók nem tudtak bejutni.
A Huntress szerint a használt hitelesítő adat a szolgáltató saját környezetében volt, nem az ügyfelekében keletkezett. Ugyanarról az IP-címről október 13. és 14. között négy ügyvédi iroda környezete ellen is végeztek jelszópróbálgatást és automatizált bejelentkezési kísérleteket.
Egy ügyfélnél rendszergazdai jogosultságot szerzett az alkalmazás
Az egyik vizsgált ügyfélkörnyezetben a Huntress további tevékenységet észlelt október 15-én. A ConnectWise Cloud Management Microsoft Teams-alkalmazása felvette magát a globális rendszergazdai szerepkörbe. Ezután egy Python-szkript új alkalmazáshitelesítő adatokat adott egy MSP-kezelő alkalmazáshoz és a Huntress saját alkalmazásához.
Mindez nagyjából két és fél órával megelőzte a támadó IP-címéről érkező első bejelentkezéseket. Ez a hozzáférés a Microsoft belső felhőhálózatából érkezett. A kutatók a két eseménysort nem kötötték ugyanahhoz az elkövetőhöz.
A Huntress nagy bizonyossággal állítja, hogy a támadó a Cloud Management Exchange Online-, MS Teams- és SharePoint Online-alkalmazásaival is visszaélt. A ConnectWise mindhármat leállította.
A Microsoft 365 beállításait is át kell nézni az érintett környezetekben
A ConnectWise megosztotta a behatolásnál használt IP-címek adatait, és útmutatót tett közzé az MSP-k Microsoft 365-környezeteinek átvizsgálásához.
Kasper Lindgaard, a CoreView biztonsági stratégiáért felelős alelnöke szerint a ConnectWise megállította a támadást. Az érintett vállalkozások feladata ugyanakkor annak ellenőrzése, hogy az elkövető módosított-e Microsoft 365-beállításokat, vagy kialakított-e tartós hozzáférést az ügyfélkörnyezetben.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum