AnswersPublished23 sources
ConnectWise Cloud Backup -hyökkäys avasi pääsyn Microsoft 365 -ympäristöihin
Huntress raportoi luvattomia kirjautumisia 173 Microsoft 365 ympäristössä ConnectWise Cloud Backupin vaarantuneella sovellustunnisteella. Koska hyökkääjä kirjautui luotettuna sovelluksena eikä käyttäjätilillä, käyttäjän monivaiheinen tunnistautuminen ei kuulunut tähän kirjautumisvirtaan.
JulkaisijaMuokattu mallilla GPT-6 LunaKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- Huntress raportoi luvattomia kirjautumisia 173 Microsoft 365 ympäristössä ConnectWise Cloud Backupin vaarantuneella sovellustunnisteella.
- Koska hyökkääjä kirjautui luotettuna sovelluksena eikä käyttäjätilillä, käyttäjän monivaiheinen tunnistautuminen ei kuulunut tähän kirjautumisvirtaan.
- Kirjautumiset eivät yksin todista tietojen varastamista kaikista ympäristöistä. Ylläpitäjien kannattaa tarkistaa myös sovellusten tunnistetiedot ja odottamattomat roolimuutokset.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
ConnectWise Cloud Backupin, aiemmin SkyKickin, vaarantunutta tunnistetietoa käytettiin Microsoft Graph -käyttöoikeustunnusten hankkimiseen asiakkaiden Microsoft 365 -ympäristöissä. Huntress raportoi luvattomia kirjautumisia 173 kumppani- ja asiakasympäristössä. Luku ei tarkoita, että tietojen varastaminen olisi vahvistettu kaikissa niissä. Hyökkäyksen kokonaislaajuus ja se, miten alkuperäinen tunnistetieto vaarantui, ovat edelleen epäselviä. 1
6
9
Mitä tapahtui?
Microsoft kuvaili tapausta toimitusketjuhyökkäykseksi, jossa vaarantui luotettu OAuth-sovellus. Asiakkaat olivat jo antaneet moniasiakassovelluksena toimivalle Cloud Backupille oikeudet toimia omissa Microsoft 365 -ympäristöissään. Tutkijoiden mukaan hyökkääjä käytti näitä ennestään myönnettyjä oikeuksia tunnusten hankkimiseen eri ympäristöissä. Oikeuksiin kuului laajoja hakemistotoimintoja, kuten Directory.ReadWrite.All. 9
15
Huntressin ilmoittama määrä nousi 162 ympäristöstä 173:een. Aiempi luku oli ilmoitettu 16. lokakuuta kello 19.00 UTC. Kyse on vahvistetuista luvattomista kirjautumisista, ei lopullisesta määrästä organisaatioita, joihin hyökkäys vaikutti, eikä todisteesta siitä, että jokaisesta ympäristöstä olisi viety tietoja. 1
6
9
Tapahtumien aikajana ja IP-osoite
Huntress havaitsi sovelluksen hankkivan Microsoft Graph -tunnuksia IP-osoitteesta 144.172.64[.]128 15. lokakuuta kello 06.13–08.34 UTC. Nopea siirtyminen ympäristöstä toiseen viittasi automatisoituun toimintaan. Huntress kertoi myös, että samasta IP-osoitteesta yritettiin 13. ja 14. lokakuuta salasanojen arvaamista neljän asianajotoimiston ympäristöissä. Nämä aiemmat yritykset eivät kuitenkaan kerro, miten Cloud Backupin tunnistetieto joutui vääriin käsiin. 1
5
20
Miksi käyttäjien MFA ei estänyt kirjautumisia?
Toiminta tunnistautui sovelluksena eli palvelupäämiehenä, ei yksittäisenä käyttäjänä. Siksi käyttäjille tarkoitettu monivaiheinen tunnistautuminen (MFA) ei kuulunut tähän sovelluksen kirjautumisvirtaan. Tämä ei ole sama asia kuin käyttäjätilin MFA:n ohittaminen. 7
11
Sovelluksen olemassa olevat oikeudet saattoivat antaa pääsyn Microsoft 365:n resursseihin, kuten sähköpostiin, OneDriveen, SharePointiin, Teamsiin ja hakemistotietoihin. Oikeuksien laajuus ei kuitenkaan todista, että näitä kaikkia tietoja olisi luettu. Todyl raportoi luvattomat kirjautumiset yhdeksässä tutkimassaan ympäristössä, mutta tämä rajattu havainto ei kerro, mitä tapahtui muissa ympäristöissä. 6
19
29
Tutkijat havaitsivat myös merkkejä pysyvästä pääsystä
Huntress raportoi itse itselleen määritetyistä hakemistoroolista lähes 50 ympäristössä. Yhdessä havaitussa tapauksessa Teams-hallintaan liittyvä sovellus myönsi itselleen Global Administrator -roolin ja lisäsi tunnistetietoja muihin sovelluksiin. Niihin kuului palveluntarjoajan hallintatyökalun sovellus sekä Huntressin sovellus. Lisätyt tunnistetiedot saattoivat luoda alkuperäisestä Cloud Backup -integraatiosta erillisiä pääsyreittejä. 1
9
Siksi pelkkä toimittajan integraation poistaminen käytöstä ei välttämättä poista kaikkia tunkeutumisen aikana tehtyjä muutoksia. Ylläpitäjien kannattaa tarkistaa myös tuntemattomat sovellussalaisuudet ja odottamattomat roolimäärittelyt. 1
13
Mitä varmuuskopioista tiedetään – ja mitä ei?
ConnectWise kertoi, ettei se ollut löytänyt merkkejä kumppanien varmuuskopiotietojen käytöstä luvatta. Yhtiön mukaan olemassa olevat arkistot olisivat käytettävissä palvelun palauttamisen jälkeen. Tämä lausunto koskee varmuuskopioarkistoja; se ei osoita, etteikö asiakkaiden Microsoft 365 -tietoja olisi käsitelty. Raportoidussa päivityksessä ei ilmoitettu palvelun palauttamispäivää. 4
19
ConnectWise kertoi 17. lokakuuta, että se oli peruuttanut haavoittuneisiin sovellusyhteyksiin liittyneet varmenteet ja mitätöinyt Cloud Backupin jaetut tunnistetiedot. Palvelun keskeytys ja tunnistetietojen mitätöinti ovat rajoitustoimia, eivät lopullinen selvitys tapauksen vaikutuksista. 3
Saatavilla olevat tiedot eivät ratkaise, kuinka moneen organisaatioon hyökkäys vaikutti, kuinka paljon tietoja mahdollisesti varastettiin tai mistä alkuperäinen tunnistetieto vaarantui. Tietoturvayhtiöiden tutkimukset kattavat eri ympäristöjä, joten yhden yhtiön havaintoja ei pidä pitää täydellisenä kuvana kaikista vaikutuksista. 1
9
19
Mitä Microsoft 365 -ylläpitäjien kannattaa tehdä?
- Poista kyseiset sovellukset käytöstä ja säilytä tutkintaan tarvittavat tiedot. Huntress kehotti vaikutuksen kohteeksi joutuneita organisaatioita poistamaan sovelluksen käytöstä. Älä poista sitä ennen kuin olet tarkistanut kirjautumis-, rooli- ja tunnistetietomuutokset. Noudata toimittajan ja incident response -asiantuntijoiden ajantasaisia ohjeita ennen sovelluksen ottamista uudelleen käyttöön.
9
13
- Tarkista Cloud Backupin lisäksi muutkin sovellukset. Etsi 13. lokakuuta jälkeen lisättyjä odottamattomia salaisuuksia tai tunnistetietoja sekä tuntemattomia roolimuutoksia. Toimittajan tunnistetietojen kierto tai palvelun keskeyttäminen ei automaattisesti poista muihin sovelluksiin lisättyjä tunnistetietoja.
1
- Tutki sovellusten kirjautumiset erillään käyttäjäkirjautumisista. Koska tässä käytettiin sovelluksen tunnistetta, pelkkä käyttäjien MFA-tapahtumien tarkastelu ei riitä tilanteen arvioimiseen.
7
- Älä tulkitse puuttuvia lokitapahtumia todisteeksi siitä, ettei pääsyä tapahtunut. Kaikista Microsoft Graphin hakemistotietojen lukutoiminnoista ei välttämättä jää hakemiston auditointilokia. Lokimerkinnän puuttuminen ei siis yksin osoita, ettei tietoja olisi tarkasteltu tai käytetty.
Tapauksen keskeinen opetus on, että luotettu integraatio voi saada laajat oikeudet useisiin asiakasympäristöihin. Tässä tapauksessa vahvistetut sovelluskirjautumiset ja raportoidut pysyvän pääsyn merkit edellyttävät selvittämistä, vaikka tietojen varastamista ei ole vahvistettu. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ConnectWise Cloud Backup -hyökkäys avasi pääsyn Microsoft 365 -ympäristöihin"?
Huntress raportoi luvattomia kirjautumisia 173 Microsoft 365 ympäristössä ConnectWise Cloud Backupin vaarantuneella sovellustunnisteella.
What are the key points to validate first?
Huntress raportoi luvattomia kirjautumisia 173 Microsoft 365 ympäristössä ConnectWise Cloud Backupin vaarantuneella sovellustunnisteella. Koska hyökkääjä kirjautui luotettuna sovelluksena eikä käyttäjätilillä, käyttäjän monivaiheinen tunnistautuminen ei kuulunut tähän kirjautumisvirtaan.
What should I do next in practice?
Kirjautumiset eivät yksin todista tietojen varastamista kaikista ympäristöistä. Ylläpitäjien kannattaa tarkistaa myös sovellusten tunnistetiedot ja odottamattomat roolimuutokset.