AnswersPublished23 sources
Serangan ConnectWise Cloud Backup: Perkara Penting untuk Pentadbir Microsoft 365
Huntress melaporkan log masuk tanpa kebenaran dalam 173 persekitaran Microsoft 365 menggunakan kelayakan aplikasi ConnectWise Cloud Backup yang telah dikompromi. Oleh sebab penceroboh mengesahkan diri sebagai aplikasi, bukan pengguna, MFA pengguna tidak terpakai pada aliran log masuk tersebut.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- Huntress melaporkan log masuk tanpa kebenaran dalam 173 persekitaran Microsoft 365 menggunakan kelayakan aplikasi ConnectWise Cloud Backup yang telah dikompromi.
- Oleh sebab penceroboh mengesahkan diri sebagai aplikasi, bukan pengguna, MFA pengguna tidak terpakai pada aliran log masuk tersebut.
- Jumlah organisasi terjejas dan tahap sebarang kecurian data masih belum diketahui; pentadbir disaran menyiasat aplikasi serta kelayakan yang mencurigakan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Kelayakan ConnectWise Cloud Backup, yang dahulunya dikenali sebagai SkyKick, telah dikompromi dan digunakan untuk mendapatkan token akses Microsoft Graph merentas persekitaran pelanggan Microsoft 365. Huntress melaporkan log masuk tanpa kebenaran dalam 173 persekitaran rakan kongsi dan pelanggan. Angka itu tidak bermaksud kecurian data disahkan dalam kesemua 173 persekitaran. Jumlah keseluruhan kesan insiden dan bagaimana kelayakan asal dikompromi masih belum diketahui. 1
6
9
Apa yang berlaku?
Microsoft menyifatkan insiden ini sebagai serangan rantaian bekalan yang melibatkan aplikasi OAuth dipercayai yang telah dikompromi. Pelanggan sebelum ini sudah memberikan kebenaran kepada aplikasi berbilang penyewa Cloud Backup untuk beroperasi dalam persekitaran mereka. Menurut penyiasat, penyerang menggunakan kebenaran sedia ada itu untuk mendapatkan token merentas persekitaran pelanggan. Kebenaran tersebut termasuk akses direktori yang luas seperti Directory.ReadWrite.All. 9
15
Jumlah yang dilaporkan Huntress meningkat daripada 162 persekitaran pada 19:00 UTC, 16 Oktober, kepada 173 dalam kemas kini berikutnya. Angka ini merujuk kepada log masuk tanpa kebenaran yang disahkan—bukan jumlah muktamad organisasi terjejas, dan bukan bukti bahawa maklumat telah diambil daripada setiap persekitaran tersebut. 1
6
9
Garis masa dan alamat IP yang dikesan
Huntress memerhatikan aplikasi itu mendapatkan token Microsoft Graph daripada 144.172.64[.]128 antara 06:13 hingga 08:34 UTC pada 15 Oktober. Peralihan pantas dari satu persekitaran pelanggan ke persekitaran lain menunjukkan aktiviti itu berkemungkinan dijalankan secara automatik melalui skrip. Huntress turut melaporkan percubaan password spraying yang tidak berjaya terhadap empat persekitaran firma guaman, menggunakan alamat IP yang sama pada 13 dan 14 Oktober. Percubaan terdahulu itu tidak membuktikan bagaimana kelayakan Cloud Backup dikompromi. 1
5
20
Mengapa MFA pengguna tidak menghalang log masuk
Aktiviti itu disahkan menggunakan identiti aplikasi, yang juga dikenali sebagai service principal, bukannya akaun pengguna individu. Oleh itu, MFA pengguna bukan sebahagian daripada proses pengesahan aplikasi tersebut. Ini berbeza daripada penyerang memintas MFA pada akaun pengguna. 7
11
Kebenaran sedia ada aplikasi itu berpotensi memberinya akses kepada sumber Microsoft 365 seperti e-mel, OneDrive, SharePoint, Teams dan data direktori. Namun, skop kebenaran bukan bukti bahawa semua sumber itu telah dibaca. Dalam pemeriksaan terhadap sembilan persekitaran, Todyl melaporkan log masuk tanpa kebenaran; dapatan terhad itu tidak menentukan apa yang berlaku dalam persekitaran lain. 6
19
29
Penyiasat turut menemui tanda-tanda akses berterusan
Huntress melaporkan bahawa aplikasi menetapkan sendiri peranan direktori dalam hampir 50 persekitaran. Dalam satu kes yang diperhatikan, aplikasi pengurusan Teams memberikan peranan Pentadbir Global kepada dirinya sendiri, kemudian menambah kelayakan pada aplikasi lain—termasuk aplikasi alat pengurusan sebuah penyedia perkhidmatan terurus (MSP) dan aplikasi Huntress. Kelayakan tambahan ini boleh menjadi laluan akses lain, berasingan daripada integrasi Cloud Backup asal. 1
9
Sebab itulah mematikan integrasi vendor sahaja mungkin tidak mencukupi untuk menangani semua perubahan yang dibuat semasa pencerobohan. Pentadbir juga patut mencari rahsia aplikasi yang tidak dikenali dan pemberian peranan yang luar biasa. 1
13
Status sandaran dan perkara yang masih belum dipastikan
ConnectWise berkata pihaknya tidak menemui petunjuk bahawa data sandaran rakan kongsi telah diakses, dan arkib sedia ada akan tersedia selepas perkhidmatan dipulihkan. Kenyataan itu merujuk kepada arkib sandaran; ia tidak membuktikan bahawa data pelanggan dalam Microsoft 365 tidak disentuh. Dalam kemas kini yang dilaporkan, tarikh pemulihan perkhidmatan belum diumumkan. 4
19
Dalam kemas kini pada 17 Oktober, ConnectWise berkata sijil yang digunakan untuk sambungan aplikasi terjejas telah dibatalkan dan kelayakan Cloud Backup yang dikongsi telah dinyahaktifkan. Gangguan perkhidmatan dan tindakan terhadap kelayakan ini ialah langkah pembendungan, bukannya penjelasan muktamad tentang kesan insiden. 3
Maklumat yang tersedia belum menentukan jumlah organisasi terjejas, sejauh mana data mungkin dicuri, atau punca kelayakan asal dikompromi. Penemuan daripada firma keselamatan yang berbeza juga meliputi kumpulan persekitaran yang berlainan; pemerhatian satu firma tidak semestinya menggambarkan keadaan keseluruhan. 1
9
19
Langkah yang patut diambil pentadbir Microsoft 365
- Nyahdayakan aplikasi terjejas sambil mengekalkan bukti. Huntress menasihatkan organisasi terjejas supaya menyahdayakan aplikasi tersebut. Elakkan memadamkannya sebelum menyemak log masuk, perubahan peranan dan perubahan kelayakan yang berkaitan. Ikuti panduan vendor dan pasukan tindak balas insiden sebelum menyambungkannya semula.
9
13
- Semak aplikasi lain juga, bukan Cloud Backup sahaja. Cari rahsia atau kelayakan luar biasa yang ditambah sejak 13 Oktober, serta sebarang pemberian peranan yang tidak dikenali. Memutar kelayakan vendor atau menggantung perkhidmatan tidak secara automatik membuang kelayakan yang mungkin telah ditambah pada aplikasi lain.
1
- Siasat log masuk aplikasi secara berasingan daripada log masuk pengguna. Oleh sebab aktiviti ini menggunakan identiti aplikasi, semakan bersih terhadap peristiwa MFA pengguna sahaja tidak mencukupi untuk menilainya.
7
- Jangan anggap ketiadaan rekod audit sebagai bukti bahawa tiada akses berlaku. Sesetengah operasi bacaan direktori Microsoft Graph mungkin tidak meninggalkan rekod audit direktori. Oleh itu, ketiadaan peristiwa audit tidak semestinya menunjukkan bahawa tiada pengintaian atau akses berlaku.
Pengajaran utamanya: integrasi yang dipercayai boleh membawa akses yang luas merentas persekitaran pelanggan. Dalam insiden ini, log masuk aplikasi tanpa kebenaran yang disahkan dan aktiviti akses berterusan yang dilaporkan wajar disiasat, walaupun kecurian data belum dibuktikan. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Serangan ConnectWise Cloud Backup: Perkara Penting untuk Pentadbir Microsoft 365"?
Huntress melaporkan log masuk tanpa kebenaran dalam 173 persekitaran Microsoft 365 menggunakan kelayakan aplikasi ConnectWise Cloud Backup yang telah dikompromi.
What are the key points to validate first?
Huntress melaporkan log masuk tanpa kebenaran dalam 173 persekitaran Microsoft 365 menggunakan kelayakan aplikasi ConnectWise Cloud Backup yang telah dikompromi. Oleh sebab penceroboh mengesahkan diri sebagai aplikasi, bukan pengguna, MFA pengguna tidak terpakai pada aliran log masuk tersebut.
What should I do next in practice?
Jumlah organisasi terjejas dan tahap sebarang kecurian data masih belum diketahui; pentadbir disaran menyiasat aplikasi serta kelayakan yang mencurigakan.