ConnectWise Cloud Backup təchizat zənciri hücumu: 162+ Microsoft 365 tenantı necə sındırıldı?

#Nə baş verib?

ConnectWise Cloud Backup (əvvəlki adı ilə SkyKick Cloud Backup) mühitində tətbiq etimadnaməsinin oğurlanması nəticəsində ən azı 162 Microsoft 365 tenantı komprometasiya olunub. Hadisə təchizat zənciri hücumu kimi qiymətləndirilir: hücumçu oğurlanmış application credential (client secret) vasitəsilə müştəri tenantlarında etibarlı service principal kimi autentifikasiya olunub.

Bu, tətbiqə əvvəlcədən verilmiş bütün icazələrin – o cümlədən Directory.ReadWrite.All, poçt, OneDrive/SharePoint faylları və Teams yazışmalarına girişi – hücumçuya keçməsinə imkan verib. Hücum Microsoft, Huntress və ConnectWise tərəfindən təsdiqlənib.

ConnectWise-in rəsmi məlumatına görə:

• Cloud Backup, SaaS Security və Cloud Management xidmətləri dayandırılıb;
• Backup işləri, arxivə giriş və bərpa əməliyyatları hazırda əlçatan deyil;
• Mövcud backup arxivləri şifrələnmiş və izolyasiya olunmuş vəziyyətdə saxlanılır, bu arxivlərin sındırıldığına dair sübut yoxdur.

#Texniki detallar və TTP-lər

Texniki göstəricilər:

• Hücum IP-si: 144.172.64[.]128 (sonradan 144.172.64[.]60 və 144.172.64[.]99 da əlavə olunub);
• User-agent-lər: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2, curl/7.88.1;
• Hücum Microsoft Graph API üzərindən, zərərli binary istifadə olunmadan, tamamilə oğurlanmış tətbiq etimadnamələri ilə aparılıb.

Bir sıra tenantda hücumçu:

• Özünə Exchange Administrator və Global Administrator rolları təyin edib;
• Digər etibarlı tətbiqlərə yeni client secret əlavə edərək persistensiya yaradıb.

Hücum MFA-nı yan keçib, çünki tətbiq autentifikasiyası istifadəçi hesabı ilə bağlı MFA siqnallarını işə salmır. Hadisə bir neçə MITRE ATT&CK texnikasına uyğun gəlir: T1078.004, T1195.002, T1098.003, T1087.004, T1550.001.

#MSP-lər və sistem administratorları nə etməlidir?

ConnectWise bütün partnyorlara Cloud Backup technical investigation and remediation guide sənədindəki addımlara əməl etməyi tövsiyə edir. Microsoft 365 adminləri və MSP-lər üçün minimum addımlar:

• Öz Microsoft 365 tenantınızı və idarə etdiyiniz bütün müştəri tenantlarını yoxlayın;
• Aşağıdakı tətbiq ID-lərinə aid service principal və Enterprise applications qeydlərinə baxın:
• Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae
• Cloud Management: 2399d300-6fca-4e6a-a686-399fefe75b83 və digər inteqrasiyalar (Teams, Exchange Online, MS Graph, Partner Center, SharePoint Online);
• Sign-in logs və Audit logs daxilində 144.172.64.0/24 IP aralığından gələn girişləri axtarın;
• Bu tətbiqlərə verilmiş rolları (Global Admin, Exchange Admin və s.) və icazələri yenidən qiymətləndirin;
• Şübhəli hallarda tətbiqi deaktiv edin, bütün client secret və sertifikatları yeniləyin.

Əgər xidmətləri reseller/distributor/marketplace vasitəsilə alırsınızsa, müvafiq tenantın administratoruna bu təlimatların çatdığından əmin olun. Son status və rəsmi göstərişlər üçün ConnectWise Trust Center səhifəsi izlənməlidir.

Mənbə: ConnectWise, Gündəm · rescana.com