उत्तरप्रकाशित23 स्रोत
ConnectWise Cloud Backup हमला: Microsoft 365 एडमिन के लिए अहम जानकारी
Huntress ने ConnectWise Cloud Backup ऐप के समझौता किए गए क्रेडेंशियल से 173 Microsoft 365 टेनेंट में अनधिकृत साइन इन की पुष्टि की। हमलावर ने यूज़र के बजाय ऐप की पहचान से साइन इन किया, इसलिए उस प्रमाणीकरण प्रक्रिया में यूज़र MFA लागू नहीं हुआ।
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- Huntress ने ConnectWise Cloud Backup ऐप के समझौता किए गए क्रेडेंशियल से 173 Microsoft 365 टेनेंट में अनधिकृत साइन इन की पुष्टि की।
- हमलावर ने यूज़र के बजाय ऐप की पहचान से साइन इन किया, इसलिए उस प्रमाणीकरण प्रक्रिया में यूज़र MFA लागू नहीं हुआ।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
ConnectWise Cloud Backup—जिसे पहले SkyKick के नाम से जाना जाता था—के एक समझौता किए गए क्रेडेंशियल का इस्तेमाल करके हमलावरों ने कई ग्राहकों के Microsoft 365 टेनेंट में Microsoft Graph एक्सेस टोकन हासिल किए। Huntress ने पार्टनर और ग्राहक टेनेंट में 173 अनधिकृत साइन-इन की सूचना दी है। इसका मतलब यह नहीं कि सभी 173 में डेटा चोरी की पुष्टि हो गई है। कुल असर और मूल क्रेडेंशियल कैसे उजागर हुआ, यह अभी स्पष्ट नहीं है। 1
6
9
क्या हुआ था?
Microsoft ने इसे सप्लाई-चेन हमला बताया है, जिसमें एक भरोसेमंद OAuth ऐप का क्रेडेंशियल समझौता किया गया। ग्राहकों ने पहले ही ConnectWise Cloud Backup के मल्टीटेनेंट ऐप को अपने Microsoft 365 वातावरण में काम करने की अनुमति दी थी। जांचकर्ताओं के अनुसार, हमलावर ने इन्हीं मौजूदा अनुमतियों का इस्तेमाल करके अलग-अलग टेनेंट में टोकन हासिल किए। ऐप को Directory.ReadWrite.All जैसी व्यापक डायरेक्टरी अनुमतियां मिली हुई थीं। 9
15
Huntress के अनुसार, 16 अक्टूबर को 19:00 UTC तक 162 टेनेंट में अनधिकृत साइन-इन दिखे थे। बाद के अपडेट में यह संख्या 173 हो गई। ये पुष्टि किए गए साइन-इन हैं—प्रभावित संगठनों की अंतिम संख्या नहीं, और न ही हर टेनेंट में जानकारी निकाले जाने का प्रमाण। 1
6
9
गतिविधि का समय और IP पता
Huntress ने 15 अक्टूबर को 06:13 से 08:34 UTC के बीच 144.172.64[.]128 से ऐप द्वारा Microsoft Graph टोकन हासिल किए जाने की गतिविधि देखी। कम समय में कई टेनेंट के बीच हुई तेज आवाजाही से यह गतिविधि स्क्रिप्ट के जरिए संचालित लगती है। Huntress ने यह भी बताया कि इसी IP पते से 13 और 14 अक्टूबर को चार लॉ-फर्म टेनेंट के खिलाफ पासवर्ड-स्प्रेइंग के असफल प्रयास हुए थे। हालांकि, इन पुराने प्रयासों से यह साबित नहीं होता कि Cloud Backup का क्रेडेंशियल कैसे समझौता हुआ। 1
5
20
यूज़र MFA से साइन-इन क्यों नहीं रुका?
यह गतिविधि किसी व्यक्ति के यूज़र अकाउंट से नहीं, बल्कि ऐप की पहचान—जिसे सर्विस प्रिंसिपल भी कहा जाता है—से प्रमाणित हुई। इसलिए इस ऐप-साइन-इन प्रक्रिया में यूज़र MFA लागू नहीं था। यह किसी यूज़र अकाउंट पर MFA को चकमा देने से अलग है। 7
11
ऐप को मिली मौजूदा अनुमतियों के आधार पर Microsoft 365 के मेल, OneDrive, SharePoint, Teams और डायरेक्टरी डेटा तक पहुंच संभव हो सकती थी। लेकिन यह संभावित पहुंच इस बात का सबूत नहीं कि इन सभी संसाधनों को पढ़ा गया। Todyl ने जिन नौ टेनेंट की जांच की, उनमें अनधिकृत साइन-इन की सूचना दी; यह सीमित जांच बाकी टेनेंट में क्या हुआ, यह तय नहीं करती। 6
19
29
जांच में लगातार पहुंच बनाए रखने के संकेत भी मिले
Huntress ने करीब 50 टेनेंट में डायरेक्टरी रोल अपने-आप को दिए जाने की जानकारी दी। एक मामले में, Teams प्रबंधन ऐप ने खुद को Global Administrator रोल दिया और अन्य ऐप्स में क्रेडेंशियल जोड़ दिए। इनमें एक MSP के प्रबंधन टूल का ऐप और Huntress का ऐप शामिल था। ये नए क्रेडेंशियल मूल Cloud Backup इंटीग्रेशन से अलग पहुंच के रास्ते बना सकते थे। 1
9
इसीलिए केवल वेंडर इंटीग्रेशन बंद करना घुसपैठ के दौरान किए गए हर बदलाव को ठीक करने के लिए पर्याप्त नहीं हो सकता। एडमिन को अनजान ऐप सीक्रेट और असामान्य रोल असाइनमेंट भी तलाशने चाहिए। 1
13
बैकअप के बारे में क्या पता है—और क्या नहीं
ConnectWise ने कहा कि उसके पास पार्टनर के बैकअप डेटा तक पहुंच के कोई संकेत नहीं हैं और सेवा बहाल होने के बाद मौजूदा आर्काइव उपलब्ध होंगे। यह बयान बैकअप आर्काइव से जुड़ा है; इससे यह साबित नहीं होता कि Microsoft 365 में रखा ग्राहक डेटा अछूता रहा। रिपोर्ट किए गए अपडेट में सेवा बहाली की कोई तारीख नहीं दी गई। 4
19
17 अक्टूबर के अपडेट में ConnectWise ने बताया कि प्रभावित ऐप कनेक्शन में इस्तेमाल किए गए सर्टिफिकेट रद्द कर दिए गए हैं और Cloud Backup के साझा क्रेडेंशियल अमान्य कर दिए गए हैं। ये कदम खतरे को सीमित करने के लिए हैं, घटना के कुल असर का अंतिम आकलन नहीं। 3
उपलब्ध रिपोर्टिंग से प्रभावित संगठनों की कुल संख्या, डेटा चोरी की सीमा या मूल क्रेडेंशियल समझौता होने का कारण तय नहीं होता। अलग-अलग सुरक्षा कंपनियों ने अलग टेनेंट की जांच की है, इसलिए किसी एक कंपनी के निष्कर्ष को सभी प्रभावित वातावरणों की पूरी तस्वीर नहीं मानना चाहिए। 1
9
19
Microsoft 365 एडमिन अब क्या करें?
- सबूत सुरक्षित रखते हुए प्रभावित ऐप्स को बंद करें। Huntress ने प्रभावित संगठनों को ऐप डिसेबल करने की सलाह दी है। साइन-इन, रोल और क्रेडेंशियल में हुए बदलावों की जांच से पहले ऐप को डिलीट न करें। उसे दोबारा जोड़ने से पहले मौजूदा वेंडर और घटना-प्रतिक्रिया मार्गदर्शन का पालन करें।
9
13
- Cloud Backup के अलावा दूसरे ऐप्स भी जांचें। 13 अक्टूबर के बाद जोड़े गए अनजान सीक्रेट या क्रेडेंशियल और असामान्य रोल असाइनमेंट देखें। वेंडर के क्रेडेंशियल बदलने या सेवा रोकने से दूसरे ऐप्स में हमलावर द्वारा जोड़े गए क्रेडेंशियल अपने-आप नहीं हटते।
1
- ऐप साइन-इन की जांच यूज़र साइन-इन से अलग करें। चूंकि इस गतिविधि में ऐप की पहचान इस्तेमाल हुई, केवल यूज़र MFA इवेंट की साफ रिपोर्ट घटना का आकलन करने के लिए पर्याप्त नहीं है।
7
- ऑडिट रिकॉर्ड न मिलना, पहुंच न होने का प्रमाण न मानें। Microsoft Graph के कुछ डायरेक्टरी-रीड ऑपरेशन का रिकॉर्ड डायरेक्टरी ऑडिट लॉग में नहीं दिख सकता। इसलिए किसी इवेंट का न मिलना यह साबित नहीं करता कि पहुंच या जानकारी जुटाने की कोशिश नहीं हुई।
इस घटना का अहम सबक यह है कि किसी भरोसेमंद इंटीग्रेशन को ग्राहकों के कई टेनेंट में व्यापक पहुंच मिल सकती है। यहां अनधिकृत ऐप साइन-इन और लगातार पहुंच बनाए रखने के बताए गए संकेत जांच के लिए पर्याप्त वजह हैं—भले ही डेटा चोरी की पुष्टि न हुई हो। 9
15
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"ConnectWise Cloud Backup हमला: Microsoft 365 एडमिन के लिए अहम जानकारी" का संक्षिप्त उत्तर क्या है?
Huntress ने ConnectWise Cloud Backup ऐप के समझौता किए गए क्रेडेंशियल से 173 Microsoft 365 टेनेंट में अनधिकृत साइन इन की पुष्टि की।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
Huntress ने ConnectWise Cloud Backup ऐप के समझौता किए गए क्रेडेंशियल से 173 Microsoft 365 टेनेंट में अनधिकृत साइन इन की पुष्टि की। हमलावर ने यूज़र के बजाय ऐप की पहचान से साइन इन किया, इसलिए उस प्रमाणीकरण प्रक्रिया में यूज़र MFA लागू नहीं हुआ।