AnswersPublished23 sources
ConnectWise-intrånget: Det här behöver Microsoft 365-administratörer veta
Huntress har bekräftat obehöriga inloggningar i 173 partner och kundmiljöer i Microsoft 365 med en kapad inloggningsuppgift för ConnectWise Cloud Backup. Angriparen loggade in som en betrodd app, inte som en användare.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- Huntress har bekräftat obehöriga inloggningar i 173 partner och kundmiljöer i Microsoft 365 med en kapad inloggningsuppgift för ConnectWise Cloud Backup.
- Angriparen loggade in som en betrodd app, inte som en användare. Därför ingick inte användarnas MFA i just det autentiseringsflödet.
- Det är fortfarande oklart hur många organisationer som påverkats och om, eller i vilken omfattning, data har stulits.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
En kapad inloggningsuppgift för ConnectWise Cloud Backup, tidigare SkyKick, användes för att hämta åtkomsttoken till Microsoft Graph i flera kunders Microsoft 365-miljöer. Huntress rapporterade obehöriga inloggningar i 173 partner- och kundmiljöer. Siffran innebär däremot inte att datastöld har bekräftats i samtliga 173. Den totala omfattningen och hur den ursprungliga inloggningsuppgiften kom på avvägar är fortfarande okänt. 1
6
9
Vad hände?
Microsoft beskriver händelsen som en leveranskedjeattack där en betrodd OAuth-app komprometterades. Kunder hade redan godkänt appen för flera klientmiljöer, så att den kunde sköta Cloud Backups funktioner. Enligt utredarna utnyttjade angriparen de befintliga behörigheterna för att hämta token i olika miljöer. De omfattade bred åtkomst till katalogdata, bland annat behörigheten Directory.ReadWrite.All. 9
15
Huntress rapporterade först 162 miljöer klockan 19.00 UTC den 16 oktober. I en senare uppdatering hade antalet stigit till 173. Det rör sig om bekräftade obehöriga inloggningar – inte ett slutligt antal drabbade organisationer och inte ett bevis för att information hämtades från varje miljö. 1
6
9
Tidslinjen och IP-adressen
Huntress såg Cloud Backup-appen hämta token till Microsoft Graph från 144.172.64[.]128 mellan 06.13 och 08.34 UTC den 15 oktober. Den snabba förflyttningen mellan kundmiljöer tydde på automatiserad aktivitet. Huntress rapporterade också misslyckade försök till lösenordssprejning mot fyra advokatbyråers miljöer från samma IP-adress den 13 och 14 oktober. Försöken visar dock inte hur appens inloggningsuppgift komprometterades. 1
5
20
Varför användarnas MFA inte stoppade inloggningarna
Aktiviteten utfördes med appens identitet – en så kallad tjänsteprincipal – och inte med ett enskilt användarkonto. Därför ingick inte användar-MFA i appens inloggningsflöde. Det är alltså inte samma sak som att angriparen kringgick MFA för en användare. 7
11
Appens befintliga behörigheter kunde i princip ge åtkomst till Microsoft 365-resurser som e-post, OneDrive, SharePoint, Teams och katalogdata. Men att appen hade behörighet är inte bevis för att allt detta lästes. Todyl rapporterade obehöriga inloggningar i de nio miljöer företaget undersökte; den begränsade observationen säger inte vad som skedde i andra miljöer. 6
19
29
Tecken på att angriparen försökte behålla åtkomst
Huntress rapporterade att katalogroller hade tilldelats på egen hand i närmare 50 miljöer. I ett observerat fall gav en app för Teams-hantering sig själv rollen Global Administrator och lade till inloggningsuppgifter i andra appar, bland annat en MSP:s administrationsverktyg och Huntress app. Sådana tillägg kan skapa åtkomstvägar vid sidan av den ursprungliga Cloud Backup-integrationen. 1
9
Därför behöver det inte räcka att stänga av leverantörens integration. Administratörer bör även leta efter okända apphemligheter och oväntade rolldelningar. 1
13
Vad vet man om säkerhetskopiorna?
ConnectWise uppgav att företaget inte hade några tecken på att partnernas säkerhetskopierade data hade nåtts och att befintliga arkiv skulle bli tillgängliga när tjänsten återställts. Beskedet gäller säkerhetskopiorna – det visar inte att kunddata i Microsoft 365 var orörda. I den rapporterade uppdateringen hade inget datum för återställning meddelats. 4
19
I en uppdatering den 17 oktober uppgav ConnectWise att certifikat för berörda appanslutningar hade återkallats och gemensamma inloggningsuppgifter för Cloud Backup ogiltigförklarats. Åtgärderna begränsar risken, men är inte en slutlig redovisning av incidentens omfattning. 3
Det tillgängliga underlaget fastställer inte hur många organisationer som totalt påverkats, hur mycket data som eventuellt stulits eller hur den ursprungliga inloggningsuppgiften komprometterades. Säkerhetsföretagen har dessutom undersökt olika grupper av miljöer, så ett företags observationer ger inte en fullständig bild av alla drabbade. 1
9
19
Råd till Microsoft 365-administratörer
- Inaktivera berörda appar och bevara underlaget. Huntress rekommenderade drabbade organisationer att inaktivera appen. Radera den inte innan relevanta inloggningar, rolländringar och nya inloggningsuppgifter har granskats. Följ aktuell vägledning från leverantören och incidenthanterare innan appen återansluts.
9
13
- Granska även andra appar än Cloud Backup. Leta efter oväntade hemligheter eller inloggningsuppgifter som lagts till sedan den 13 oktober, och kontrollera okända rolltilldelningar. Att leverantören roterar uppgifter eller stänger tjänsten tar inte automatiskt bort uppgifter som angriparen lagt till i andra appar.
1
- Granska apploggar separat från användarinloggningar. Eftersom aktiviteten använde en appidentitet räcker det inte att bara kontrollera användarnas MFA-händelser.
7
- Tolka inte avsaknad av loggar som bevis för att ingen åtkomst skedde. Vissa läsningar av katalogdata via Microsoft Graph lämnar kanske ingen kataloglogg, vilket begränsar vad frånvaron av logghändelser kan visa.
Den centrala lärdomen är att en betrodd integration kan ha omfattande åtkomst i många kundmiljöer. Här motiverar de bekräftade applogginloggningarna och rapporterade försöken att skapa beständig åtkomst en noggrann granskning – även där datastöld ännu inte har fastställts. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ConnectWise-intrånget: Det här behöver Microsoft 365-administratörer veta"?
Huntress har bekräftat obehöriga inloggningar i 173 partner och kundmiljöer i Microsoft 365 med en kapad inloggningsuppgift för ConnectWise Cloud Backup.
What are the key points to validate first?
Huntress har bekräftat obehöriga inloggningar i 173 partner och kundmiljöer i Microsoft 365 med en kapad inloggningsuppgift för ConnectWise Cloud Backup. Angriparen loggade in som en betrodd app, inte som en användare. Därför ingick inte användarnas MFA i just det autentiseringsflödet.
What should I do next in practice?
Det är fortfarande oklart hur många organisationer som påverkats och om, eller i vilken omfattning, data har stulits.