AnswersPublished23 sources
מתקפת ConnectWise: גישה לא מורשית ל־173 סביבות Microsoft 365
Huntress זיהתה כניסות לא מורשות ל־173 סביבות Microsoft 365 של שותפים ולקוחות באמצעות פרטי גישה שנחשפו מאפליקציית ConnectWise Cloud Backup. הפעילות בוצעה בזהות של אפליקציה ולא של משתמש, ולכן אימות רב־שלבי למשתמשים לא חל על מסלול הכניסה הזה.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- Huntress זיהתה כניסות לא מורשות ל־173 סביבות Microsoft 365 של שותפים ולקוחות באמצעות פרטי גישה שנחשפו מאפליקציית ConnectWise Cloud Backup.
- הפעילות בוצעה בזהות של אפליקציה ולא של משתמש, ולכן אימות רב־שלבי למשתמשים לא חל על מסלול הכניסה הזה.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
פרטי גישה שנחשפו עבור ConnectWise Cloud Backup, שירות שנקרא בעבר SkyKick, שימשו להשגת אסימוני גישה של Microsoft Graph בסביבות Microsoft 365 של לקוחות. Huntress דיווחה על כניסות לא מורשות ב־173 סביבות של שותפים ולקוחות. הנתון אינו אומר שגניבת מידע אושרה בכל 173 הסביבות. היקף הפגיעה הכולל והדרך שבה נחשפו פרטי הגישה המקוריים עדיין אינם ידועים. 1
6
9
מה קרה?
מיקרוסופט תיארה את האירוע כמתקפת שרשרת אספקה, שבה נפגעה אפליקציית OAuth מהימנה. לקוחות כבר אישרו לאפליקציית Cloud Backup, הפועלת מול כמה ארגונים, הרשאות לפעול בסביבות שלהם. לפי החוקרים, התוקפים ניצלו את ההרשאות הקיימות כדי להשיג אסימוני גישה בין סביבות. בין ההרשאות הרחבות שהוענקו לאפליקציה נכללה Directory.ReadWrite.All. 9
15
מספר הסביבות שבהן זיהתה Huntress כניסות לא מורשות עלה מ־162 בשעה 19:00 לפי UTC ב־16 באוקטובר ל־173 בעדכון מאוחר יותר. מדובר בכניסות שאושרו כלא מורשות — לא במספר סופי של הארגונים שנפגעו, ולא בהוכחה שמידע נגנב מכל אחת מהסביבות. 1
6
9
ציר הזמן וכתובת ה־IP
Huntress זיהתה את האפליקציה משיגה אסימוני Microsoft Graph מכתובת 144.172.64[.]128 בין 06:13 ל־08:34 לפי UTC, ב־15 באוקטובר. המעבר המהיר בין סביבות שונות הצביע על פעילות שנראתה אוטומטית. החברה דיווחה גם על ניסיונות כושלים לנחש סיסמאות בארבע סביבות של משרדי עורכי דין, מאותה כתובת IP, ב־13 וב־14 באוקטובר. הניסיונות המוקדמים האלה אינם מוכיחים כיצד נחשפו פרטי הגישה של Cloud Backup. 1
5
20
למה אימות רב־שלבי למשתמשים לא עצר את הכניסות?
הפעילות בוצעה באמצעות זהות של אפליקציה — המכונה גם service principal — ולא באמצעות חשבון של אדם. לכן אימות רב־שלבי (MFA) של משתמשים לא היה חלק מתהליך ההזדהות הזה. אין פירוש הדבר שהתוקפים עקפו MFA בחשבון משתמש. 7
11
ההרשאות הקיימות של האפליקציה יכלו לאפשר גישה למשאבי Microsoft 365, ובהם דואר, OneDrive, SharePoint, Teams ונתוני ספרייה. אבל עצם קיומה של הרשאה אינו מוכיח שכל המשאבים האלה נקראו בפועל. בבדיקה של תשע סביבות, Todyl דיווחה על כניסות לא מורשות; הממצא המצומצם הזה אינו מלמד מה התרחש בסביבות אחרות. 6
19
29
סימנים לניסיון לשמור על גישה
Huntress דיווחה על שיוך עצמי של תפקידי ספרייה בכמעט 50 סביבות. במקרה אחד שנצפה, אפליקציה לניהול Teams העניקה לעצמה את תפקיד Global Administrator והוסיפה פרטי התחברות לאפליקציות אחרות — ובהן אפליקציית ניהול של ספק שירותים מנוהלים (MSP) והאפליקציה של Huntress. פרטים שנוספו כך עשויים ליצור דרכי גישה נוספות, שאינן תלויות בחיבור המקורי של Cloud Backup. 1
9
לכן השבתת האינטגרציה של הספק לבדה לא בהכרח תסיר כל שינוי שנעשה במהלך החדירה. כדאי לבדוק גם סודות אפליקציה לא מוכרים ושיוכים חריגים של תפקידים. 1
13
מה ידוע על הגיבויים — ומה עדיין לא
ConnectWise מסרה שאין בידיה סימנים לכך שנתוני הגיבוי של שותפים נחשפו, ושארכיונים קיימים יהיו זמינים לאחר שחזור השירות. ההצהרה מתייחסת לארכיוני הגיבוי; היא אינה מוכיחה שנתוני Microsoft 365 של הלקוחות לא נחשפו. בעדכון שדווח לא נמסר מועד לחידוש השירות. 4
19
בעדכון מ־17 באוקטובר מסרה ConnectWise כי ביטלה תעודות ששימשו לחיבורים האפליקטיביים שנפגעו, וכן את פרטי הגישה המשותפים של Cloud Backup. אלה צעדי הכלה, אך הם אינם סיכום סופי של היקף האירוע. 3
המידע שפורסם אינו קובע כמה ארגונים נפגעו בסך הכול, אם נגנב מידע ובאיזה היקף, או כיצד נחשפו פרטי הגישה המקוריים. גם היקף הבדיקות של חברות האבטחה שונה: ממצאים של חברה אחת אינם בהכרח תמונה מלאה של כל הסביבות שנפגעו. 1
9
19
מה כדאי למנהלי Microsoft 365 לעשות?
- להשבית את האפליקציות שנפגעו ולשמור ראיות. Huntress המליצה לארגונים שנפגעו להשבית את האפליקציה. מומלץ לא למחוק אותה לפני בדיקת יומני כניסה, שיוכי תפקידים ושינויים בפרטי גישה, ולפעול לפי הנחיות הספק וצוותי התגובה לאירועים לפני חיבור מחדש.
9
13
- לבדוק גם אפליקציות אחרות. חפשו סודות או פרטי התחברות לא צפויים שנוספו מאז 13 באוקטובר, וכן שיוכי תפקידים חריגים. החלפת פרטי הגישה של הספק או השבתת השירות אינן מסירות אוטומטית פרטים שהתוקפים הוסיפו לאפליקציות אחרות.
1
- לבדוק כניסות של אפליקציות בנפרד מכניסות של משתמשים. מכיוון שהפעילות בוצעה בזהות אפליקטיבית, בדיקה תקינה של אירועי MFA למשתמשים בלבד אינה מספיקה כדי להעריך אותה.
7
- לא להסיק מהיעדר אירועי ביקורת שלא הייתה גישה. פעולות מסוימות של קריאת נתוני ספרייה דרך Microsoft Graph עשויות שלא להופיע ביומן הביקורת של הספרייה. לכן היעדר אירועים אינו הוכחה שלא הייתה גישה או פעילות חיפוש.
הלקח המרכזי הוא שאינטגרציה מהימנה יכולה לקבל גישה רחבה לסביבות של לקוחות רבים. במקרה הזה, הכניסות האפליקטיביות שאושרו והדיווחים על ניסיונות להשיג גישה מתמשכת מצדיקים בדיקה — גם כאשר גניבת מידע עדיין לא הוכחה. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "מתקפת ConnectWise: גישה לא מורשית ל־173 סביבות Microsoft 365"?
Huntress זיהתה כניסות לא מורשות ל־173 סביבות Microsoft 365 של שותפים ולקוחות באמצעות פרטי גישה שנחשפו מאפליקציית ConnectWise Cloud Backup.
What are the key points to validate first?
Huntress זיהתה כניסות לא מורשות ל־173 סביבות Microsoft 365 של שותפים ולקוחות באמצעות פרטי גישה שנחשפו מאפליקציית ConnectWise Cloud Backup. הפעילות בוצעה בזהות של אפליקציה ולא של משתמש, ולכן אימות רב־שלבי למשתמשים לא חל על מסלול הכניסה הזה.