JawabanDipublikasikan23 sumber
Kredensial ConnectWise Cloud Backup Disalahgunakan untuk Mengakses 173 Tenant Microsoft 365
Huntress melaporkan aktivitas masuk tanpa izin di 173 tenant Microsoft 365 melalui kredensial aplikasi ConnectWise Cloud Backup yang dikompromikan. Karena akses dilakukan sebagai aplikasi tepercaya, bukan pengguna, MFA pengguna tidak berlaku pada alur autentikasi tersebut.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Huntress melaporkan aktivitas masuk tanpa izin di 173 tenant Microsoft 365 melalui kredensial aplikasi ConnectWise Cloud Backup yang dikompromikan.
- Karena akses dilakukan sebagai aplikasi tepercaya, bukan pengguna, MFA pengguna tidak berlaku pada alur autentikasi tersebut.
- Belum diketahui berapa banyak organisasi yang terdampak secara keseluruhan atau apakah data dicuri dari tenant yang disusupi.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Kredensial ConnectWise Cloud Backup—layanan yang sebelumnya dikenal sebagai SkyKick—diduga dikompromikan dan digunakan untuk memperoleh token akses Microsoft Graph di berbagai tenant Microsoft 365. Huntress melaporkan aktivitas masuk tanpa izin di 173 tenant milik mitra dan pelanggan. Angka itu bukan berarti pencurian data telah dipastikan di semua tenant tersebut. Dampak keseluruhan dan cara kredensial awal diperoleh masih belum diketahui. 1
6
9
Apa yang terjadi?
Microsoft mengategorikan insiden ini sebagai serangan rantai pasok yang melibatkan aplikasi OAuth tepercaya yang kredensialnya dikompromikan. OAuth adalah mekanisme yang memungkinkan aplikasi memperoleh akses ke layanan lain. Pelanggan sebelumnya telah memberikan izin kepada aplikasi ConnectWise Cloud Backup yang dapat digunakan di banyak tenant. Menurut penyelidik, pelaku memanfaatkan izin yang sudah ada itu untuk memperoleh token lintas tenant, termasuk izin luas seperti Directory.ReadWrite.All. 9
15
Jumlah yang dilaporkan Huntress meningkat dari 162 tenant pada pukul 19.00 UTC, 16 Oktober, menjadi 173 dalam pembaruan berikutnya. Angka tersebut merujuk pada aktivitas masuk tanpa izin yang terkonfirmasi—bukan jumlah akhir organisasi terdampak, dan bukan bukti bahwa informasi diambil dari setiap tenant. 1
6
9
Linimasa dan alamat IP yang terpantau
Huntress mengamati aplikasi tersebut memperoleh token Microsoft Graph dari 144.172.64[.]128 pada 15 Oktober, antara pukul 06.13 dan 08.34 UTC. Perpindahan cepat dari satu tenant ke tenant lain mengindikasikan aktivitas yang kemungkinan dijalankan dengan skrip. Huntress juga melaporkan upaya password spraying yang gagal terhadap empat tenant firma hukum dari alamat IP yang sama pada 13 dan 14 Oktober. Upaya sebelumnya itu tidak menjelaskan bagaimana kredensial ConnectWise Cloud Backup dikompromikan. 1
5
20
Mengapa MFA pengguna tidak menghentikan aktivitas ini?
Aktivitas tersebut menggunakan identitas aplikasi—disebut juga service principal—bukan akun pengguna. Karena itu, MFA pengguna tidak menjadi bagian dari alur masuk aplikasi tersebut. Ini berbeda dari pelaku yang melewati MFA pada akun seseorang. 7
11
Izin aplikasi berpotensi membuka akses ke sumber daya Microsoft 365 seperti email, OneDrive, SharePoint, Teams, dan data direktori. Namun, cakupan izin bukan bukti bahwa semua sumber daya itu benar-benar dibaca. Dalam pemeriksaan terhadap sembilan tenant, Todyl melaporkan aktivitas masuk tanpa izin; temuan terbatas tersebut tidak memastikan apa yang terjadi di tenant lain. 6
19
29
Ada pula indikasi upaya mempertahankan akses
Huntress melaporkan penetapan peran direktori oleh aplikasi itu sendiri di hampir 50 tenant. Dalam satu kasus yang diamati, aplikasi pengelola Teams memberikan peran Global Administrator kepada dirinya sendiri, lalu menambahkan kredensial ke aplikasi lain—termasuk aplikasi alat pengelolaan milik penyedia layanan terkelola (MSP) dan aplikasi Huntress. Kredensial tambahan itu dapat membuka jalur akses lain di luar integrasi Cloud Backup yang semula disalahgunakan. 1
9
Karena itu, menonaktifkan integrasi vendor saja mungkin belum cukup untuk menangani semua perubahan yang dibuat selama penyusupan. Admin juga perlu mencari rahasia aplikasi (app secret) yang tidak dikenal dan penetapan peran yang tidak diharapkan. 1
13
Bagaimana dengan data cadangan?
ConnectWise mengatakan tidak menemukan indikasi bahwa data cadangan mitra telah diakses dan menyatakan arsip yang sudah ada akan tersedia setelah layanan dipulihkan. Pernyataan itu merujuk pada arsip cadangan; pernyataan tersebut tidak membuktikan bahwa data pelanggan di Microsoft 365 tidak tersentuh. Dalam pembaruan yang dilaporkan, belum ada tanggal pemulihan layanan. 4
19
Dalam pembaruan 17 Oktober, ConnectWise menyatakan telah mencabut sertifikat yang digunakan untuk koneksi aplikasi terdampak dan membatalkan kredensial bersama Cloud Backup. Penghentian sementara layanan dan tindakan terhadap kredensial merupakan langkah pembatasan insiden, bukan laporan akhir mengenai dampaknya. 3
Informasi yang tersedia belum memastikan jumlah total organisasi terdampak, skala pencurian data jika ada, ataupun sumber awal kompromi kredensial. Temuan dari perusahaan keamanan yang berbeda juga mencakup kumpulan tenant yang berbeda, sehingga hasil pengamatan satu perusahaan belum tentu menggambarkan seluruh lingkungan yang terdampak. 1
9
19
Langkah yang perlu dipertimbangkan admin Microsoft 365
- Nonaktifkan aplikasi terdampak sambil menjaga bukti. Huntress menyarankan organisasi terdampak untuk menonaktifkan aplikasi. Jangan langsung menghapusnya sebelum meninjau log masuk, perubahan peran, dan perubahan kredensial yang relevan. Ikuti panduan terbaru dari vendor dan tim respons insiden sebelum mengaktifkannya kembali.
9
13
- Periksa aplikasi lain, bukan hanya Cloud Backup. Cari rahasia atau kredensial yang tidak dikenal dan ditambahkan sejak 13 Oktober, serta penetapan peran yang mencurigakan. Penggantian kredensial vendor atau penghentian layanan tidak otomatis menghapus kredensial yang mungkin sudah ditambahkan pelaku ke aplikasi lain.
1
- Tinjau aktivitas aplikasi secara terpisah dari aktivitas pengguna. Karena insiden ini memakai identitas aplikasi, pemeriksaan log MFA pengguna yang terlihat normal saja tidak cukup untuk menilainya.
7
- Jangan menganggap ketiadaan log audit sebagai bukti bahwa tidak ada akses. Sebagian operasi pembacaan direktori melalui Microsoft Graph mungkin tidak meninggalkan jejak audit direktori. Karena itu, tidak adanya peristiwa di log belum tentu membuktikan bahwa akses atau pengintaian tidak terjadi.
Pelajaran utamanya: integrasi tepercaya dapat memiliki akses luas ke banyak tenant pelanggan. Dalam insiden ini, aktivitas masuk aplikasi yang terkonfirmasi dan laporan tentang upaya mempertahankan akses patut diselidiki, meskipun pencurian data belum dipastikan. 9
15
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Kredensial ConnectWise Cloud Backup Disalahgunakan untuk Mengakses 173 Tenant Microsoft 365"?
Huntress melaporkan aktivitas masuk tanpa izin di 173 tenant Microsoft 365 melalui kredensial aplikasi ConnectWise Cloud Backup yang dikompromikan.
Apa poin penting yang harus divalidasi terlebih dahulu?
Huntress melaporkan aktivitas masuk tanpa izin di 173 tenant Microsoft 365 melalui kredensial aplikasi ConnectWise Cloud Backup yang dikompromikan. Karena akses dilakukan sebagai aplikasi tepercaya, bukan pengguna, MFA pengguna tidak berlaku pada alur autentikasi tersebut.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Belum diketahui berapa banyak organisasi yang terdampak secara keseluruhan atau apakah data dicuri dari tenant yang disusupi.