RespostasPublicado23 fontes
Credencial comprometida da ConnectWise abriu caminho para 173 ambientes Microsoft 365
A Huntress confirmou acessos não autorizados em 173 ambientes de clientes e parceiros do Microsoft 365 por meio de uma credencial comprometida da ConnectWise Cloud Backup. Como a autenticação foi feita pelo próprio aplicativo, e não por uma conta de usuário, o MFA de usuários não fazia parte desse fluxo.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- A Huntress confirmou acessos não autorizados em 173 ambientes de clientes e parceiros do Microsoft 365 por meio de uma credencial comprometida da ConnectWise Cloud Backup.
- Como a autenticação foi feita pelo próprio aplicativo, e não por uma conta de usuário, o MFA de usuários não fazia parte desse fluxo.
- O total de organizações afetadas e a extensão de eventual roubo de dados seguem desconhecidos; administradores devem revisar aplicativos, credenciais e funções de diretório.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Uma credencial comprometida da ConnectWise Cloud Backup, serviço antes conhecido como SkyKick, foi usada para obter tokens de acesso do Microsoft Graph em diferentes ambientes de clientes do Microsoft 365. A Huntress informou ter identificado acessos não autorizados em 173 ambientes de parceiros e clientes — mas esse número não significa que houve roubo de dados em todos eles. O impacto total e a origem do comprometimento da credencial ainda não foram esclarecidos. 1
6
9
Como o ataque aconteceu
A Microsoft classificou o caso como um ataque à cadeia de suprimentos, envolvendo um aplicativo OAuth confiável comprometido. Os clientes já haviam autorizado o aplicativo multitenant da Cloud Backup a operar em seus ambientes; segundo os investigadores, o invasor se aproveitou dessas permissões existentes para obter tokens em diferentes tenants — isto é, ambientes organizacionais separados do Microsoft 365. Entre as permissões havia acessos amplos ao diretório, como Directory.ReadWrite.All. 9
15
A contagem divulgada pela Huntress passou de 162 ambientes às 19h UTC de 16 de outubro para 173 em uma atualização posterior. São registros confirmados de acessos não autorizados, não uma contagem final de organizações afetadas nem uma prova de que informações foram copiadas de cada ambiente. 1
6
9
O horário dos acessos e o endereço IP
A Huntress observou o aplicativo obtendo tokens do Microsoft Graph a partir do endereço 144.172.64[.]128 entre 6h13 e 8h34 UTC de 15 de outubro. A rápida alternância entre ambientes sugeriu uma atividade automatizada. A empresa também relatou tentativas malsucedidas de adivinhação de senhas contra quatro ambientes de escritórios de advocacia, a partir do mesmo IP, em 13 e 14 de outubro. Essas tentativas anteriores não esclarecem como a credencial da Cloud Backup foi comprometida. 1
5
20
Por que o MFA de usuários não bloqueou o acesso
A autenticação foi feita como uma identidade de aplicativo — também chamada de entidade de serviço — e não como um usuário individual. Por isso, o MFA configurado para usuários não fazia parte desse fluxo. Isso é diferente de um invasor contornar o MFA de uma conta de usuário. 7
11
As permissões já concedidas ao aplicativo poderiam permitir acesso a recursos do Microsoft 365, como e-mail, OneDrive, SharePoint, Teams e dados de diretório. Mas ter permissão para acessar esses recursos não prova que eles foram lidos. Ao analisar nove ambientes, a Todyl relatou os acessos não autorizados, mas esse recorte não permite concluir o que ocorreu nos demais. 6
19
29
Sinais de persistência encontrados pelos investigadores
A Huntress identificou funções de diretório atribuídas pelo próprio invasor em quase 50 ambientes. Em um caso observado, um aplicativo de gerenciamento do Teams concedeu a si mesmo a função de Administrador Global e adicionou credenciais a outros aplicativos, incluindo uma ferramenta de gestão de um provedor de serviços gerenciados (MSP) e um aplicativo da própria Huntress. Essas credenciais poderiam criar caminhos de acesso independentes da integração original da Cloud Backup. 1
9
Por isso, desativar apenas a integração do fornecedor pode não desfazer todas as alterações feitas durante uma invasão. Administradores também devem procurar segredos de aplicativos desconhecidos e atribuições de funções inesperadas. 1
13
O que se sabe sobre os backups — e o que continua em aberto
A ConnectWise afirmou não ter indicadores de que os dados de backup dos parceiros tenham sido acessados e disse que os arquivos existentes ficariam disponíveis após a restauração do serviço. Essa declaração se refere aos arquivos de backup: ela não comprova que os dados dos clientes no Microsoft 365 permaneceram intocados. Na atualização divulgada, não havia uma data para a restauração. 4
19
Em 17 de outubro, a ConnectWise informou que havia revogado certificados usados nas conexões de aplicativos afetadas e invalidado credenciais compartilhadas da Cloud Backup. A interrupção do serviço e a invalidação das credenciais são medidas de contenção, não um balanço final do impacto do incidente. 3
As informações disponíveis não estabelecem quantas organizações foram afetadas ao todo, se houve roubo de dados e em que escala, nem como a credencial original foi comprometida. As análises de diferentes empresas de segurança abrangem conjuntos distintos de ambientes; por isso, as observações de uma equipe não representam necessariamente o quadro completo. 1
9
19
O que administradores do Microsoft 365 devem fazer
- Desativar os aplicativos afetados e preservar evidências. A Huntress recomendou desativar o aplicativo. Antes de excluí-lo, revise os registros de acesso, as mudanças de funções e as credenciais; siga as orientações atuais do fornecedor e da equipe de resposta a incidentes antes de reativá-lo.
9
13
- Revisar outros aplicativos além da Cloud Backup. Procure segredos ou credenciais inesperados adicionados desde 13 de outubro e atribuições de funções desconhecidas. A troca de credenciais do fornecedor ou a suspensão do serviço não remove automaticamente credenciais que tenham sido adicionadas a outros aplicativos.
1
- Investigar acessos de aplicativos separadamente dos acessos de usuários. Como a atividade usou uma identidade de aplicativo, analisar apenas os eventos de MFA de usuários não basta para avaliar o incidente.
7
- Não interpretar a falta de registros de auditoria como prova de que não houve acesso. Algumas operações de leitura de diretório pelo Microsoft Graph podem não gerar um registro de auditoria no diretório, o que limita o que a ausência de eventos permite concluir.
O principal alerta é que uma integração confiável pode concentrar permissões importantes em vários ambientes de clientes. Neste caso, os acessos de aplicativo confirmados e os relatos de atividade de persistência justificam investigação, mesmo sem confirmação de roubo de dados. 9
15
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Credencial comprometida da ConnectWise abriu caminho para 173 ambientes Microsoft 365"?
A Huntress confirmou acessos não autorizados em 173 ambientes de clientes e parceiros do Microsoft 365 por meio de uma credencial comprometida da ConnectWise Cloud Backup.
Quais são os pontos-chave para validar primeiro?
A Huntress confirmou acessos não autorizados em 173 ambientes de clientes e parceiros do Microsoft 365 por meio de uma credencial comprometida da ConnectWise Cloud Backup. Como a autenticação foi feita pelo próprio aplicativo, e não por uma conta de usuário, o MFA de usuários não fazia parte desse fluxo.
O que devo fazer a seguir na prática?
O total de organizações afetadas e a extensão de eventual roubo de dados seguem desconhecidos; administradores devem revisar aplicativos, credenciais e funções de diretório.