شرکت ConnectWise دسترسی مشتریان به سرویس Cloud Backup خود (که پیشتر با نام SkyKick Cloud Backup شناخته می‌شد) را پس از آنکه هکرها به هویت‌های برنامه دست یافتند و تعدادی Microsoft 365 tenant را به‌خطر انداختند، قطع کرد.
از روز جمعه گزارش‌هایی درباره این فعالیت مخرب منتشر شد. مدیران اعلام کردند به داده‌های مشتریان در چند Microsoft 365 tenant بدون احراز هویت دسترسی شده است و این موضوع را به «SkyKick/CW breach» احتمالی نسبت دادند.
در همان روز، پلتفرم مدیریت‌شده امنیت سایبری و کشف تهدید شرکت Huntress این نگرانی‌ها را تأیید کرد و گفت دست‌کم 162 Microsoft 365 tenant به‌خطر افتاده را در محیط خود شناسایی کرده است.
در یادداشتی امروز، شرکت Microsoft نیز فعالیت مخرب مرتبط با سرویس ConnectWise Cloud Backup را تأیید کرد و گفت در 15 اکتبر تلاش‌های احراز هویتِ بدون مجوز را از یک آدرس IP شناسایی کرده است.
راهکارهای پشتیبان‌گیری ابری شرکت ConnectWise خدمات پشتیبان‌گیری و بازیابی ارائه می‌دهد که به ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و تیم‌های IT کمک می‌کند داده‌های مشتریان، مانند ایمیل و فایل، را در محیط‌های ابری از جمله Microsoft 365 و Google Workspace محافظت و بازیابی کنند.
برای پشتیبان‌گیری‌های Microsoft 365، این سرویس بر مجوزهایی تکیه می‌کند که از طریق Microsoft Entra ID اعطا می‌شود. یک هویتِ برنامه با عنوان «service principal» نرم‌افزار را در tenant مشتری نمایندگی می‌کند و طبق مجوزهای اعطا شده به آن، امکان دسترسی به منابع را فراهم می‌سازد.
نقض‌های امنیتی در چند Microsoft 365 tenant
در یک اطلاعیه امنیتی، شرکت ConnectWise اعلام کرد که «به‌تازگی دسترسیِ بدون مجوز به هویت‌های برنامه در محیط ConnectWise Cloud Backup شناسایی شده است» و دسترسی برنامه را برای شرکا و مشتریان خود قطع کرد.
به‌گفته شرکت ConnectWise، «تا این لحظه هیچ شاخصی در اختیار نداریم که نشان دهد داده‌های پشتیبانِ شرکای Cloud Backup به‌خطر افتاده است. بایگانی موجودِ پشتیبان‌گیری ابری تحت تأثیر این وقفه خدمات قرار نگرفته و پس از بازیابی سرویس‌ها در دسترس خواهد بود».
با این حال، این شرکت تحقیق را آغاز کرده و در حال انجام اقدامات اصلاحی است.
بر پایه گزارش‌های شرکت Microsoft، شرکت Huntress و مدیران، این فعالیت مخرب دست‌کم از 15 اکتبر و از یک آدرس IP آغاز شده است: 144.172.64[.]128.
یک کاربر در Reddit گفت که در 15 اکتبر از سرویس Microsoft Privileged Identity Management (PIM) اعلانی دریافت کرده است. این اعلان هشدار می‌داد که یک service principal متعلق به SkyKick نقش Exchange Administrator را برای خودش تعیین کرده است، در حالی که او سال‌هاست از این برنامه استفاده نمی‌کند.
با این حال، برخی از شناسه‌هایی که برای SkyKick مخرب گزارش شده‌اند با شناسه‌هایی که از سوی شرکت Huntress، شرکت Microsoft و پلتفرم Todyl ارائه شده بود مطابقت دارند. پلتفرم Todyl عمدتاً برای ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و متخصصان IT طراحی شده است.
به گفته پژوهشگران Todyl، مهاجم با استفاده از secret به‌عنوان برنامه پشتیبان مستقیماً به Microsoft 365 احراز هویت کرد و مجوزهایی را به‌دست آورد که مشتریان از پیش به آن داده بودند.
درخواست‌های ورود را یک اسکریپت خودکار اجرا می‌کرد. چون ورود کاربر در میان نبود، حفاظت‌هایی مانند احراز هویت چندمرحله‌ای (MFA) اثربخشی نداشتند.
«چون این برنامه در هر مستأجر از قبل مجموعه‌ای گسترده از مجوزهای اعطا‌شده را در اختیار داشت، همان ورودها به مهاجم امکان فنی داد که ایمیل و پیوست‌ها، فایل‌های OneDrive و فایل‌های SharePoint و گفتگوهای Teams را بخواند و بنویسد»، Todyl گفت.
در نفوذهای تحلیل‌شده روی 9 مستأجر، پژوهشگران Todyl فقط فعالیت ورود را مشاهده کردند و شواهدی نیافتند که عامل تهدید «حساب ایجاد کرده باشد، مجوزی افزوده باشد، گذرواژه‌ها را تغییر داده باشد یا از طریق برنامه پشتیبان در هر مستأجری ماندگاری برقرار کرده باشد».
شناسایی و تلاش‌ها برای ماندگاری
با این حال، به‌گفته شرکت Huntress روی نزدیک به 50 مستأجر که آن را پایش می‌کند، چندین service principal مربوط به «برنامه‌های Cloud Management شرکت ConnectWise (سرویس Exchange Online، نرم‌افزار Microsoft Teams و رابط برنامه‌نویسی Microsoft Graph)» نقش‌های directory را برای خود تعیین کردند؛ عمدتاً نقش Exchange Administrator.
در یکی از مستأجران، پژوهشگران Huntress همچنین مشاهده کردند که مهاجم ماندگاری برقرار کرد. این عملیات حدود 5 دقیقه طول کشید.
در جریان این فعالیت، Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) برای خود نقش Global Administrator اعطا کرد و اعتبارنامه‌هایی را به یک ابزار مدیریت ویژه ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و نیز به خودِ برنامه شرکت Huntress افزود.
شرکت Microsoft همچنین مشاهده فعالیت ماندگاری از طریق یک backdoor را پس از احراز هویت موفق service principal گزارش کرد. سپس «شناسایی با Microsoft Graph API و تلاش برای افزودن اعتبارنامه‌های بیشتر» انجام شد.
شایان ذکر است که هر سه شرکت امنیت سایبری فعالیت مخرب را به همان آدرس IP 144.172.64[.]128 نسبت دادند.
بخش Microsoft Threat Intelligence این رویداد را یک حمله فعال زنجیره تأمین توصیف کرد و ارزیابی کرد که مهاجم احتمالاً از مجوزهای موجود، از جمله Directory.ReadWrite.All، سوءاستفاده کرده است.
شاخص‌ها و بررسی‌های tenant
شرکت Huntress شناسه برنامه قانونی Cloud Backup با شناسه 506e08f9-6e9a-4da4-942b-a099a03644ae را که در حملات استفاده شده بود شناسایی کرد. این بررسی همچنین آدرس IP مهاجم را به تلاش‌های ورود اسکریپت‌شده در 13 و 14 اکتبر با User-Agent curl/7.88.1 پیوند داد.
بر پایه شواهد کنونی، دست‌کم سه User-Agent با فعالیت مخرب سرویس Cloud Backup مرتبط است: python-urllib/3.12، python-requests/2.31، python-requests/2.34.2.
شرکت ConnectWise توصیه می‌کند مدیران ورودهای Service Principal در Entra را بررسی کنند، بر پایه شناسه برنامه Cloud Backup فیلتر بزنند و آدرس‌های مبدأ غیرمنتظره را بررسی کنند.
شرکت Microsoft همچنین توصیه می‌کند تغییرات اعتبارنامه برنامه‌ها، مجوزهای OAuth و فعالیت‌های مرتبط با Graph را بازبینی کنید.
شرکت Huntress به مدیران توصیه می‌کند برنامه‌های ConnectWise مرتبط را غیرفعال کنند، اعتبارنامه‌های برنامه‌ها را برای افزوده‌های بدون مجوز بررسی کنند و یکپارچه‌سازی‌های دیگر Cloud Management را بازبینی کنند.
این شرکت یادآور می‌شود که در tenant قدیمی ممکن است برنامه‌های Cloud Management ذیل ‘SkyKick Cloud Manager’ فهرست شوند.
این شرکت فهرست گسترده‌ای از شناسه‌های برنامه ارائه کرده است تا مدیران آن‌ها را جست‌وجو کنند:
- ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
- ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
- ConnectWise Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
- ConnectWise Cloud Management – Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
- ConnectWise Cloud Management – MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
- ConnectWise Cloud Management – Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
- ConnectWise Cloud Management – SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)
توقف سرویس از سوی فروشنده، اعتبارنامه‌هایی را که پیشتر در مستاجرهای مشتریان کاشته شده‌اند حذف نمی‌کند. به گفته شرکت Huntress، مدیران باید secrets و گواهی‌های همه برنامه‌ها را از نظر افزوده‌های غیرمجاز از 13 اکتبر به این‌سو بررسی و آن ورودی‌ها را حذف کنند.
شرکت Todyl هشدار می‌دهد که غیرفعال‌کردن یک برنامه صدور توکن‌های جدید را متوقف می‌کند، اما توکن‌های موجود تا زمان انقضا معتبر می‌مانند، و لغو نشست‌های کاربری دسترسی مبتنی بر برنامه را پایان نمی‌دهد.
شرکت ConnectWise در 17 اکتبر ساعت 05:01 UTC وقفه در سرویس پشتیبان‌گیری را اعلام کرد، اما زمانی برای برقراری مجدد اتصال ارائه نداد.
این شرکت هیچ نشانه‌ای مبنی بر به‌خطر افتادن نسخه‌های پشتیبان ذخیره‌شده گزارش نکرد و اعلام کرد بایگانی‌های موجود هنگام ازسرگیری سرویس‌ها قابل دسترس خواهند بود.
در زمان انتشار، شمار قربانیان و دامنه سرقت داده روشن نبود؛ همچنین مشخص نبود مهاجم چگونه به اعتبارنامه‌های فروشنده دست یافته است.
