AnswersPublished23 sources
Útok přes ConnectWise Cloud Backup: co by měli správci Microsoft 365 vědět
Huntress zaznamenal neoprávněná přihlášení přes aplikaci ConnectWise Cloud Backup ve 173 zákaznických a partnerských prostředích Microsoft 365. Útočníci se přihlašovali jako důvěryhodná aplikace, nikoli jako uživatelé, takže se na tento způsob ověření nevztahovalo uživatelské MFA.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Huntress zaznamenal neoprávněná přihlášení přes aplikaci ConnectWise Cloud Backup ve 173 zákaznických a partnerských prostředích Microsoft 365.
- Útočníci se přihlašovali jako důvěryhodná aplikace, nikoli jako uživatelé, takže se na tento způsob ověření nevztahovalo uživatelské MFA.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Kompromitované přihlašovací údaje aplikace ConnectWise Cloud Backup, dříve SkyKick, posloužily k získání přístupových tokenů Microsoft Graph napříč zákaznickými prostředími Microsoft 365. Huntress potvrdil neoprávněná přihlášení ve 173 partnerských a zákaznických tenantech. Tento počet ale neznamená, že bylo ve všech případech potvrzeno odcizení dat. Celkový dopad i způsob, jakým útočníci získali původní přihlašovací údaje, zůstávají neznámé. 1
6
9
Co se stalo
Microsoft označil incident za útok na dodavatelský řetězec, při němž byla kompromitována důvěryhodná aplikace OAuth. Zákazníci jí už dříve udělili oprávnění potřebná k provozu ve svých prostředích. Podle vyšetřovatelů útočníci těchto existujících oprávnění využili k získání tokenů napříč tenanty. Tenant je samostatné firemní prostředí Microsoft 365. Mezi udělenými oprávněními byla i široká práva k adresáři, například Directory.ReadWrite.All. 9
15
Huntress nejprve uvedl 162 tenantů k 19.00 UTC dne 16. října; v následné aktualizaci počet vzrostl na 173. Jde o potvrzená neoprávněná přihlášení, nikoli o konečný počet zasažených organizací ani důkaz, že byla data odcizena z každého prostředí. 1
6
9
Časová osa a zaznamenaná IP adresa
Huntress zaznamenal, že aplikace získávala tokeny Microsoft Graph z adresy 144.172.64[.]128 dne 15. října mezi 06.13 a 08.34 UTC. Rychlé přecházení mezi tenanty podle firmy naznačovalo automatizovanou aktivitu. Huntress také uvedl, že stejná IP adresa 13. a 14. října prováděla neúspěšné pokusy o hádání hesel ve čtyřech prostředích právnických kanceláří. Tyto starší pokusy ale neprokazují, jak byly kompromitovány přihlašovací údaje aplikace Cloud Backup. 1
5
20
Proč přihlášení nezastavilo uživatelské MFA
Aktivita byla ověřena jako identita aplikace, označovaná také jako service principal, nikoli jako konkrétní uživatel. Uživatelské vícefaktorové ověření (MFA) proto nebylo součástí tohoto přihlašovacího procesu. Nešlo tedy o případ, kdy útočník obešel MFA u uživatelského účtu. 7
11
Stávající oprávnění aplikace mohla potenciálně umožnit přístup k poště, OneDrivu, SharePointu, Teams i datům adresáře. Samotný rozsah oprávnění ale nedokazuje, že byly všechny tyto zdroje skutečně čteny. Todyl při prověřování devíti tenantů zaznamenal neoprávněná přihlášení; tento omezený soubor zjištění nevypovídá o tom, co se stalo v ostatních prostředích. 6
19
29
Vyšetřovatelé zaznamenali i známky snahy o udržení přístupu
Huntress uvedl, že téměř v 50 tenantech našel samostatně přidělené role v adresáři. V jednom pozorovaném případě si aplikace pro správu Teams přidělila roli globálního správce a přidala přihlašovací údaje do dalších aplikací, mimo jiné do aplikace nástroje pro správu poskytovatele IT služeb a do aplikace Huntress. Tyto nové přihlašovací údaje mohly vytvořit další cesty k přístupu, nezávislé na původní integraci Cloud Backup. 1
9
Proto samotné vypnutí integrace dodavatele nemusí odstranit všechny změny provedené během útoku. Správci by měli prověřit také neznámá tajemství aplikací a neočekávaně přidělené role. 1
13
Co se ví o zálohách — a co zůstává nejasné
ConnectWise uvedl, že nemá žádné indicie, že by útočníci získali přístup k partnerským zálohám, a že existující archivy budou po obnovení služby dostupné. Toto vyjádření se týká záložních archivů; nepotvrzuje, že zákaznická data v Microsoft 365 zůstala nedotčena. V oznámené aktualizaci nebyl uveden termín obnovení služby. 4
19
V aktualizaci z 17. října ConnectWise sdělil, že odvolal certifikáty používané dotčenými aplikačními připojeními a zneplatnil sdílené přihlašovací údaje Cloud Backup. Jde o kroky k omezení incidentu, nikoli o konečné vyčíslení jeho dopadu. 3
Dostupné informace neukazují celkový počet zasažených organizací, rozsah případného odcizení dat ani původ kompromitace původních přihlašovacích údajů. Jednotlivé bezpečnostní firmy navíc prověřovaly různé skupiny tenantů, takže zjištění jedné firmy nelze považovat za úplný obraz všech zasažených prostředí. 1
9
19
Co by měli správci Microsoft 365 udělat
- Dotčené aplikace vypnout a zároveň zachovat důkazy. Huntress doporučil zasaženým organizacím aplikaci vypnout. Před kontrolou přihlášení, změn rolí a přihlašovacích údajů ji nemažte; před opětovným připojením se řiďte aktuálními pokyny dodavatele a postupy pro reakci na incident.
9
13
- Prověřit i další aplikace. Zkontrolujte nečekaná tajemství nebo přihlašovací údaje přidané od 13. října a také neznámá přiřazení rolí. Vypnutí služby nebo změna původních údajů dodavatele automaticky neodstraní údaje přidané útočníky do jiných aplikací.
1
- Prověřit přihlášení aplikací odděleně od přihlášení uživatelů. Protože aktivita probíhala pod identitou aplikace, samotná kontrola událostí uživatelského MFA k posouzení incidentu nestačí.
7
- Nepovažovat chybějící záznamy za důkaz, že k přístupu nedošlo. Některé operace čtení adresáře přes Microsoft Graph nemusí zanechat záznam v auditu adresáře, takže absence událostí nemusí dokazovat, že k průzkumu nebo přístupu nedošlo.
Hlavní poučení je, že důvěryhodná integrace může mít rozsáhlý přístup napříč prostředími zákazníků. V tomto případě jsou potvrzená přihlášení aplikace i nahlášené pokusy o udržení přístupu důvodem k důkladnému prověření — i tam, kde zatím nebylo prokázáno odcizení dat. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Útok přes ConnectWise Cloud Backup: co by měli správci Microsoft 365 vědět"?
Huntress zaznamenal neoprávněná přihlášení přes aplikaci ConnectWise Cloud Backup ve 173 zákaznických a partnerských prostředích Microsoft 365.
What are the key points to validate first?
Huntress zaznamenal neoprávněná přihlášení přes aplikaci ConnectWise Cloud Backup ve 173 zákaznických a partnerských prostředích Microsoft 365. Útočníci se přihlašovali jako důvěryhodná aplikace, nikoli jako uživatelé, takže se na tento způsob ověření nevztahovalo uživatelské MFA.