ОтветыОпубликовано23 источники
Взлом ConnectWise Cloud Backup затронул входы в 173 среды Microsoft 365
Huntress подтвердила несанкционированные входы в 173 среды Microsoft 365 через скомпрометированные данные приложения ConnectWise Cloud Backup; это не означает, что кража данных подтверждена во всех 173 случаях. Входы выполнялись от имени приложения, а не пользователя, поэтому пользовательская многофакторная аутентиф...
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Huntress подтвердила несанкционированные входы в 173 среды Microsoft 365 через скомпрометированные данные приложения ConnectWise Cloud Backup; это не означает, что кража данных подтверждена во всех 173 случаях.
- Входы выполнялись от имени приложения, а не пользователя, поэтому пользовательская многофакторная аутентификация в этом сценарии не применялась.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Скомпрометированные данные ConnectWise Cloud Backup, ранее известного как SkyKick, позволили злоумышленникам получать токены Microsoft Graph в клиентских средах Microsoft 365. Huntress сообщила о несанкционированных входах в 173 среды партнёров и клиентов. Это число не означает, что кража данных подтверждена в каждой из них. Общий масштаб инцидента и способ первоначальной компрометации учётных данных пока неизвестны. 1
6
9
Что произошло
Microsoft описала инцидент как атаку на цепочку поставок с использованием скомпрометированного доверенного OAuth-приложения. Клиенты заранее предоставили многопользовательскому приложению Cloud Backup разрешения для работы в своих средах. По оценке расследователей, злоумышленники воспользовались уже выданными разрешениями, чтобы получать токены доступа в разных средах Microsoft 365. Среди этих разрешений был широкий доступ к каталогу, включая Directory.ReadWrite.All. 9
15
По данным Huntress, к 19:00 UTC 16 октября было выявлено 162 среды с несанкционированными входами. В следующем обновлении число выросло до 173. Речь идёт о подтверждённых входах, а не об окончательном числе пострадавших организаций и не о доказательстве того, что данные были похищены из каждой среды. 1
6
9
Когда проходили входы и что известно об IP-адресе
Huntress зафиксировала, что 15 октября с 06:13 до 08:34 UTC приложение получало токены Microsoft Graph с IP-адреса 144.172.64[.]128. Быстрое переключение между средами указывало на автоматизированную активность. По данным Huntress, 13 и 14 октября с того же IP-адреса безуспешно пытались подбирать пароли в четырёх средах юридических фирм. Эти ранние попытки сами по себе не объясняют, как были скомпрометированы данные ConnectWise Cloud Backup. 1
5
20
Почему MFA пользователей не остановила входы
Злоумышленники проходили аутентификацию от имени приложения — его также называют субъектом-службой, — а не от имени конкретного пользователя. Поэтому пользовательская MFA не участвовала в этом потоке аутентификации. Это не то же самое, что обход MFA для учётной записи пользователя. 7
11
Выданные приложению разрешения потенциально могли открыть доступ к ресурсам Microsoft 365: почте, OneDrive, SharePoint, Teams и данным каталога. Но наличие таких разрешений ещё не доказывает, что все эти данные просматривались. В девяти средах, которые изучила Todyl, компания сообщила о несанкционированных входах. Эти ограниченные результаты не показывают, что происходило в остальных средах. 6
19
29
Есть признаки закрепления в средах
Huntress сообщила, что почти в 50 средах обнаружила самостоятельно назначенные роли каталога. В одном из выявленных случаев приложение для управления Teams назначило себе роль глобального администратора и добавило учётные данные в другие приложения, в том числе в приложение инструмента управления MSP — поставщика управляемых ИТ-услуг — и приложение Huntress. Такие учётные данные могли создать дополнительные пути доступа, не связанные напрямую с исходной интеграцией Cloud Backup. 1
9
Поэтому одного отключения интеграции поставщика может быть недостаточно: важно проверить, не появились ли в процессе атаки новые секреты приложений и неожиданные назначения ролей. 1
13
Что известно о резервных копиях — и чего пока нельзя утверждать
ConnectWise заявила, что не обнаружила признаков доступа к данным резервных копий партнёров и что существующие архивы будут доступны после восстановления сервиса. Это заявление касается именно архивов резервных копий. Оно не доказывает, что данные клиентов в Microsoft 365 не затронуты. В опубликованном обновлении дата восстановления не называлась. 4
19
В обновлении от 17 октября ConnectWise сообщила, что отозвала сертификаты, использовавшиеся для затронутых подключений приложений, и аннулировала общие учётные данные Cloud Backup. Остановка сервиса и эти действия помогают ограничить инцидент, но сами по себе не дают окончательной оценки его последствий. 3
По имеющимся данным нельзя определить общее число затронутых организаций, объём возможной кражи данных или источник первоначальной компрометации учётных данных. Отчёты компаний по кибербезопасности охватывают разные наборы сред, поэтому результаты одной проверки нельзя считать полной картиной инцидента. 1
9
19
Что делать администраторам Microsoft 365
- Отключите затронутые приложения, сохранив данные для расследования. Huntress рекомендовала отключить приложение. Перед удалением проверьте журналы входов, назначения ролей и изменения учётных данных; перед повторным подключением следуйте актуальным рекомендациям поставщика и специалистов по реагированию на инциденты.
9
13
- Проверьте не только Cloud Backup, но и другие приложения. Ищите неожиданные секреты и учётные данные, добавленные начиная с 13 октября, а также незнакомые назначения ролей. Ротация учётных данных поставщика или остановка сервиса автоматически не удалит секреты, добавленные в другие приложения.
1
- Отдельно изучите входы приложений. Поскольку активность проходила от имени приложения, проверки только пользовательских входов и событий MFA недостаточно.
7
- Не считайте отсутствие событий аудита доказательством отсутствия доступа. Некоторые операции чтения данных каталога через Microsoft Graph могут не оставлять записи в журнале аудита каталога. Поэтому отсутствие таких событий не позволяет надёжно исключить разведку или доступ к данным.
Главный вывод: доверенная интеграция может иметь широкие полномочия сразу в нескольких средах клиентов. В этом инциденте подтверждённых входов от имени приложения и сообщений о закреплении достаточно, чтобы начать проверку, даже если кража данных пока не установлена. 9
15
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Взлом ConnectWise Cloud Backup затронул входы в 173 среды Microsoft 365»?
Huntress подтвердила несанкционированные входы в 173 среды Microsoft 365 через скомпрометированные данные приложения ConnectWise Cloud Backup; это не означает, что кража данных подтверждена во всех 173 случаях.
Какие ключевые моменты необходимо проверить в первую очередь?
Huntress подтвердила несанкционированные входы в 173 среды Microsoft 365 через скомпрометированные данные приложения ConnectWise Cloud Backup; это не означает, что кража данных подтверждена во всех 173 случаях. Входы выполнялись от имени приложения, а не пользователя, поэтому пользовательская многофакторная аутентификация в этом сценарии не применялась.