AnswersPublished23 sources
Hva Microsoft 365-administratorer bør vite om ConnectWise-angrepet
Huntress rapporterte uautoriserte pålogginger i 173 kunde og partnermiljøer med en kompromittert legitimasjon knyttet til ConnectWise Cloud Backup. Påloggingene ble gjort som en app, ikke som en bruker.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- Huntress rapporterte uautoriserte pålogginger i 173 kunde og partnermiljøer med en kompromittert legitimasjon knyttet til ConnectWise Cloud Backup.
- Påloggingene ble gjort som en app, ikke som en bruker. Derfor gjaldt ikke brukernes MFA for denne autentiseringsflyten.
- Tallet 173 er ikke bevis på at data ble stjålet fra alle miljøene. Omfanget av eventuell datatilgang og hvordan legitimasjonen ble kompromittert, er fortsatt uklart.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
En kompromittert legitimasjon for ConnectWise Cloud Backup, tidligere SkyKick, ble brukt til å hente tilgangstokener for Microsoft Graph på tvers av kunders Microsoft 365-miljøer. Huntress har rapportert uautoriserte pålogginger i 173 kunde- og partnermiljøer. Det betyr ikke at datatyveri er bekreftet i alle 173. Det samlede omfanget og hvordan den opprinnelige legitimasjonen ble kompromittert, er fortsatt ukjent. 1
6
9
Dette skjedde
Microsoft omtaler hendelsen som et leverandørkjedeangrep mot en betrodd OAuth-app. Kundene hadde allerede gitt den flerleietakerbaserte Cloud Backup-appen tillatelse til å operere i Microsoft 365-miljøene sine. Ifølge etterforskerne utnyttet angriperen disse eksisterende tillatelsene til å hente tilgangstokener på tvers av miljøer. Tillatelsene omfattet bred katalogtilgang, blant annet Directory.ReadWrite.All. 9
15
Huntress meldte først om 162 miljøer kl. 19.00 UTC 16. oktober. I en senere oppdatering steg tallet til 173. Dette er bekreftede uautoriserte pålogginger – ikke et endelig tall på berørte organisasjoner, og heller ikke bevis på at informasjon ble hentet ut fra hvert enkelt miljø. 1
6
9
Tidslinje og IP-adresse
Huntress observerte at appen hentet Microsoft Graph-tokener fra 144.172.64[.]128 mellom kl. 06.13 og 08.34 UTC 15. oktober. Den raske forflytningen mellom miljøer tydet på automatisert aktivitet. Huntress rapporterte også mislykkede forsøk på passordspraying mot fire advokatmiljøer fra samme IP-adresse 13. og 14. oktober. Disse tidligere forsøkene fastslår ikke hvordan Cloud Backup-legitimasjonen ble kompromittert. 1
5
20
Hvorfor MFA for brukere ikke stoppet påloggingene
Aktiviteten ble autentisert som en appidentitet, også kalt en tjenesteprinsipal, ikke som en enkeltbruker. Derfor inngikk ikke bruker-MFA i denne påloggingsflyten. Dette er noe annet enn at en angriper omgår MFA på en brukerkonto. 7
11
Appens eksisterende tillatelser kunne i prinsippet gi tilgang til Microsoft 365-ressurser som e-post, OneDrive, SharePoint, Teams og katalogdata. Men at appen hadde mulighet til å nå disse ressursene, er ikke det samme som at de faktisk ble lest. Todyl rapporterte uautoriserte pålogginger i de ni miljøene selskapet undersøkte; funnene sier ikke hva som skjedde i andre miljøer. 6
19
29
Tegn på at tilgangen ble forsøkt opprettholdt
Huntress rapporterte at angriperen hadde tildelt seg selv katalogroller i nær 50 miljøer. I ett observert tilfelle ga en app for Teams-administrasjon seg selv rollen Global Administrator og la til legitimasjon i andre apper, blant annet en app for en MSPs administrasjonsverktøy og Huntress’ app. Slike ekstra legitimasjoner kan skape tilgangsveier som er uavhengige av den opprinnelige Cloud Backup-integrasjonen. 1
9
Derfor er det ikke sikkert at det holder å deaktivere leverandørintegrasjonen. Administratorer bør også undersøke ukjente app-hemmeligheter og uventede rolletildelinger. 1
13
Hva vet vi om sikkerhetskopiene?
ConnectWise har sagt at selskapet ikke har funnet tegn på at partnernes sikkerhetskopidata ble åpnet, og at eksisterende arkiver skulle bli tilgjengelige igjen når tjenesten var gjenopprettet. Dette gjelder sikkerhetskopiarkivene; uttalelsen fastslår ikke at kundedata i Microsoft 365 var urørt. Det ble ikke oppgitt noen dato for når tjenesten skulle være tilbake. 4
19
I en oppdatering 17. oktober opplyste ConnectWise at selskapet hadde tilbakekalt sertifikater brukt for berørte appforbindelser og ugyldiggjort delte Cloud Backup-legitimasjoner. Avbruddet i tjenesten og tiltakene med legitimasjon er begrensningstiltak, ikke en endelig oversikt over konsekvensene. 3
Det som er kjent, fastslår ikke hvor mange organisasjoner som totalt ble berørt, hvor mye data som eventuelt ble stjålet, eller hvordan den opprinnelige legitimasjonen ble kompromittert. Sikkerhetsselskapenes undersøkelser omfatter dessuten ulike utvalg av miljøer, så funnene fra ett selskap gir ikke nødvendigvis et fullstendig bilde av alle berørte. 1
9
19
Dette bør Microsoft 365-administratorer gjøre
- Deaktiver berørte apper, men ta vare på bevis. Huntress anbefalte berørte organisasjoner å deaktivere appen. Unngå å slette den før relevante pålogginger, rolletildelinger og legitimasjonsendringer er gjennomgått. Følg oppdatert veiledning fra leverandøren og hendelseshåndterere før appen eventuelt kobles til igjen.
9
13
- Undersøk andre apper også. Se etter uventede hemmeligheter eller legitimasjoner lagt til siden 13. oktober, og kontroller rolletildelinger du ikke kjenner igjen. At leverandøren roterer legitimasjonen eller stanser tjenesten, fjerner ikke automatisk legitimasjon som kan ha blitt lagt til i andre apper.
1
- Gå gjennom applogger separat fra brukerpålogginger. Siden aktiviteten brukte en appidentitet, er det ikke nok å kontrollere brukerens MFA-hendelser alene.
7
- Ikke tolk manglende revisjonslogger som bevis på at ingen tilgang fant sted. Enkelte leseoperasjoner mot Microsoft Graph-katalogen etterlater kanskje ikke spor i katalogens revisjonslogg. Fravær av slike hendelser kan derfor ikke alene utelukke tilgang eller kartlegging.
Hovedlærdommen er at en betrodd integrasjon kan ha omfattende tilgang på tvers av kundemiljøer. I denne hendelsen gir bekreftede applogginger og rapporterte forsøk på å opprettholde tilgang grunn til å undersøke miljøene – også der datatyveri ikke er fastslått. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Hva Microsoft 365-administratorer bør vite om ConnectWise-angrepet"?
Huntress rapporterte uautoriserte pålogginger i 173 kunde og partnermiljøer med en kompromittert legitimasjon knyttet til ConnectWise Cloud Backup.
What are the key points to validate first?
Huntress rapporterte uautoriserte pålogginger i 173 kunde og partnermiljøer med en kompromittert legitimasjon knyttet til ConnectWise Cloud Backup. Påloggingene ble gjort som en app, ikke som en bruker. Derfor gjaldt ikke brukernes MFA for denne autentiseringsflyten.
What should I do next in practice?
Tallet 173 er ikke bevis på at data ble stjålet fra alle miljøene. Omfanget av eventuell datatilgang og hvordan legitimasjonen ble kompromittert, er fortsatt uklart.