AnswersPublished23 sources
ConnectWise-angreb ramte Microsoft 365: Det bør administratorer vide
Huntress har registreret uautoriserede logins i 173 Microsoft 365 miljøer via en kompromitteret legitimationsoplysning til ConnectWise Cloud Backup. Fordi loginene blev foretaget af en betroet applikation og ikke af brugere, var brugerbaseret multifaktorautentifikation (MFA) ikke en del af loginforløbet.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- Huntress har registreret uautoriserede logins i 173 Microsoft 365 miljøer via en kompromitteret legitimationsoplysning til ConnectWise Cloud Backup.
- Fordi loginene blev foretaget af en betroet applikation og ikke af brugere, var brugerbaseret multifaktorautentifikation (MFA) ikke en del af loginforløbet.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
En kompromitteret legitimationsoplysning til ConnectWise Cloud Backup, tidligere SkyKick, blev brugt til at hente adgangstokens til Microsoft Graph på tværs af kunders Microsoft 365-miljøer. Huntress har meldt om uautoriserede logins i 173 partner- og kundemiljøer. Det tal er ikke ensbetydende med, at datatyveri er bekræftet i alle 173. Det samlede omfang og årsagen til, at den oprindelige legitimationsoplysning blev kompromitteret, er fortsat ukendt. 1
6
9
Hvad skete der?
Microsoft beskriver hændelsen som et forsyningskædeangreb, hvor en betroet OAuth-applikation blev kompromitteret. Kunder havde allerede givet den multitenant-app, Cloud Backup, tilladelse til at arbejde i deres Microsoft 365-miljøer. Ifølge efterforskningen brugte angriberen de eksisterende tilladelser til at hente tokens på tværs af miljøer. De omfattede bred adgang til organisationsdata, herunder Directory.ReadWrite.All. 9
15
Huntress’ opgørelse steg fra 162 miljøer kl. 19.00 UTC den 16. oktober til 173 i en senere opdatering. Tallene dækker bekræftede uautoriserede logins – ikke et endeligt antal berørte organisationer eller bevis på, at oplysninger blev hentet fra hvert enkelt miljø. 1
6
9
Tidslinje og IP-adresse
Huntress observerede, at applikationen hentede Microsoft Graph-tokens fra 144.172.64[.]128 mellem kl. 06.13 og 08.34 UTC den 15. oktober. Den hurtige bevægelse fra miljø til miljø tydede på automatiseret aktivitet. Huntress rapporterede også mislykkede forsøg på password spraying mod fire advokatfirmaers miljøer fra samme IP-adresse den 13. og 14. oktober. De tidligere forsøg fastslår dog ikke, hvordan Cloud Backup-legitimationsoplysningen blev kompromitteret. 1
5
20
Hvorfor bruger-MFA ikke stoppede loginene
Aktiviteten blev godkendt som en applikationsidentitet – også kaldet en service principal – og ikke som en enkelt bruger. Brugerbaseret MFA indgik derfor ikke i dette loginforløb. Det er noget andet end, at en angriber har omgået MFA på en brugerkonto. 7
11
Applikationens eksisterende tilladelser kunne potentielt give adgang til Microsoft 365-data som e-mail, OneDrive, SharePoint, Teams og organisationsoplysninger. Men brede tilladelser er ikke i sig selv bevis på, at alle disse data blev læst. Todyl fandt uautoriserede logins i de ni miljøer, virksomheden undersøgte; den afgrænsede undersøgelse fortæller ikke, hvad der skete i andre miljøer. 6
19
29
Efterforskere fandt også tegn på vedvarende adgang
Huntress rapporterede, at der var blevet tildelt mapperoller til applikationer i næsten 50 miljøer. I et observeret tilfælde tildelte en Teams-administrationsapplikation sig selv rollen Global Administrator og tilføjede legitimationsoplysninger til andre applikationer – blandt andet en MSP’s administrationsværktøj og Huntress’ applikation. De tilføjede oplysninger kan give adgangsveje, der er uafhængige af den oprindelige Cloud Backup-integration. 1
9
Derfor er det ikke sikkert, at det er nok blot at deaktivere leverandørintegrationens app. Administratorer bør også lede efter ukendte applikationshemmeligheder og uventede rolletildelinger. 1
13
Hvad ved vi om sikkerhedskopierne?
ConnectWise har oplyst, at virksomheden ikke har tegn på, at partnernes sikkerhedskopier er blevet tilgået, og at eksisterende arkiver vil være tilgængelige, når tjenesten er genetableret. Det udsagn handler om backuparkiverne; det fastslår ikke, at kundernes Microsoft 365-data er uberørte. I den omtalte opdatering blev der ikke meldt nogen dato ud for genetableringen. 4
19
I en opdatering den 17. oktober oplyste ConnectWise, at certifikater brugt til de berørte applikationsforbindelser var tilbagekaldt, og at delte Cloud Backup-legitimationsoplysninger var gjort ugyldige. Afbrydelsen af tjenesten og tilbagekaldelsen af oplysningerne er tiltag for at begrænse hændelsen – ikke en endelig opgørelse over dens konsekvenser. 3
De tilgængelige oplysninger fastslår ikke det samlede antal berørte organisationer, omfanget af et eventuelt datatyveri eller kilden til den oprindelige kompromittering. Sikkerhedsfirmaerne har desuden undersøgt forskellige grupper af miljøer, så ét firmas observationer kan ikke betragtes som et fuldstændigt billede af alle berørte installationer. 1
9
19
Det bør Microsoft 365-administratorer gøre
- Deaktivér de berørte applikationer, men bevar sporene. Huntress anbefaler, at berørte organisationer deaktiverer applikationen. Undgå at slette den, før relevante loginhændelser, rolletildelinger og ændringer af legitimationsoplysninger er gennemgået. Følg den aktuelle vejledning fra leverandøren og incident response-teamet, før integrationen aktiveres igen.
9
13
- Undersøg også andre applikationer end Cloud Backup. Se efter uventede hemmeligheder eller legitimationsoplysninger tilføjet siden 13. oktober samt ukendte rolletildelinger. En nulstilling af leverandørens legitimationsoplysninger eller en midlertidig lukning af tjenesten fjerner ikke automatisk oplysninger, der kan være tilføjet til andre applikationer.
1
- Gennemgå applikationslogins særskilt fra brugerlogins. Da aktiviteten brugte en applikationsidentitet, er en gennemgang af brugerbaserede MFA-hændelser alene ikke nok til at vurdere den.
7
- Tag ikke manglende loghændelser som bevis på, at der ikke var adgang. Nogle læsehandlinger i Microsoft Graphs organisationsdata efterlader muligvis ikke et spor i directory-auditloggen. Fravær af hændelser viser derfor ikke nødvendigvis, at ingen oplysninger blev tilgået.
Hændelsen understreger, at en betroet integration kan have omfattende adgang på tværs af kundemiljøer. Her er uautoriserede applikationslogins og rapporter om forsøg på at etablere vedvarende adgang bekræftet – og det er grund nok til at undersøge miljøerne, selv om datatyveri ikke er fastslået. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ConnectWise-angreb ramte Microsoft 365: Det bør administratorer vide"?
Huntress har registreret uautoriserede logins i 173 Microsoft 365 miljøer via en kompromitteret legitimationsoplysning til ConnectWise Cloud Backup.
What are the key points to validate first?
Huntress har registreret uautoriserede logins i 173 Microsoft 365 miljøer via en kompromitteret legitimationsoplysning til ConnectWise Cloud Backup. Fordi loginene blev foretaget af en betroet applikation og ikke af brugere, var brugerbaseret multifaktorautentifikation (MFA) ikke en del af loginforløbet.