คำตอบเผยแพร่แล้ว23 แหล่งที่มา
เหตุโจมตี ConnectWise Cloud Backup กระทบ Microsoft 365: ผู้ดูแลระบบควรรู้อะไร
Huntress รายงานการลงชื่อเข้าใช้ Microsoft 365 โดยไม่ได้รับอนุญาตใน 173 tenant ผ่านข้อมูลรับรองของแอป ConnectWise Cloud Backup ที่ถูก компромิต แต่ตัวเลขนี้ไม่ได้ยืนยันว่ามีการขโมยข้อมูลครบทุก tenant การโจมตีใช้ตัวตนของแอป ไม่ใช่บัญชีผู้ใช้ จึงไม่ผ่านขั้นตอน MFA ของผู้ใช้ ผู้ดูแลระบบควรปิดแอปที่ได้รับผลกระทบและตรวจสอ...
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- Huntress รายงานการลงชื่อเข้าใช้ Microsoft 365 โดยไม่ได้รับอนุญาตใน 173 tenant ผ่านข้อมูลรับรองของแอป ConnectWise Cloud Backup ที่ถูก компромิต แต่ตัวเลขนี้ไม่ได้ยืนยันว่ามีการขโมยข้อมูลครบทุก tenant
- การโจมตีใช้ตัวตนของแอป ไม่ใช่บัญชีผู้ใช้ จึงไม่ผ่านขั้นตอน MFA ของผู้ใช้ ผู้ดูแลระบบควรปิดแอปที่ได้รับผลกระทบและตรวจสอบบทบาทกับข้อมูลรับรองของแอปอื่น ๆ ด้วย
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
ข้อมูลรับรองของ ConnectWise Cloud Backup ซึ่งเดิมใช้ชื่อ SkyKick ถูกนำไปใช้ขอ access token ของ Microsoft Graph ใน Microsoft 365 หลาย tenant ที่ติดตั้งแอปนี้ไว้ Huntress รายงานการลงชื่อเข้าใช้โดยไม่ได้รับอนุญาตใน 173 tenant ของพาร์ตเนอร์และลูกค้า แต่ตัวเลขนี้หมายถึงการพบการยืนยันตัวตนที่ไม่พึงประสงค์ ไม่ได้ยืนยันว่าข้อมูลถูกขโมยจากทั้ง 173 แห่ง ความเสียหายทั้งหมดและที่มาของข้อมูลรับรองที่ถูกนำไปใช้ยังไม่ทราบแน่ชัด 1
6
9
เกิดอะไรขึ้น
Microsoft ระบุว่ากำลังติดตามเหตุโจมตีซัพพลายเชน ซึ่งผู้โจมตีเข้าถึงแอป OAuth ที่ได้รับความไว้วางใจของ ConnectWise Cloud Backup ลูกค้าเคยอนุมัติให้แอปแบบหลาย tenant นี้ทำงานในสภาพแวดล้อม Microsoft 365 ของตนอยู่แล้ว ผู้ตรวจสอบประเมินว่าผู้โจมตีอาศัยสิทธิ์ที่แอปได้รับไว้ก่อนหน้าเพื่อขอ token ข้าม tenant โดยมีสิทธิ์เข้าถึงไดเรกทอรีในวงกว้าง เช่น Directory.ReadWrite.All 9
15
ตัวเลขที่ Huntress รายงานเพิ่มจาก 162 tenant ณ เวลา 19:00 UTC ของวันที่ 16 ตุลาคม เป็น 173 tenant ในการอัปเดตถัดมา อย่างไรก็ตาม จำนวนนี้นับ tenant ที่พบการลงชื่อเข้าใช้โดยไม่ได้รับอนุญาต ไม่ใช่ยอดองค์กรที่ได้รับผลกระทบทั้งหมด และไม่ใช่หลักฐานว่าข้อมูลถูกนำออกจากทุก tenant 1
6
9
ไทม์ไลน์และที่อยู่ IP ที่พบ
Huntress พบว่าแอปขอ Microsoft Graph token จาก 144.172.64[.]128 ระหว่าง 06:13–08:34 UTC ของวันที่ 15 ตุลาคม การเคลื่อนย้ายระหว่าง tenant อย่างรวดเร็วทำให้กิจกรรมดูคล้ายการทำงานด้วยสคริปต์ นอกจากนี้ Huntress ยังรายงานความพยายามเดารหัสผ่านแบบ password spraying จาก IP เดียวกันต่อ tenant ของสำนักงานกฎหมาย 4 แห่งในวันที่ 13 และ 14 ตุลาคม แต่ความพยายามก่อนหน้านั้นไม่ใช่หลักฐานที่บอกได้ว่าข้อมูลรับรองของแอป Cloud Backup ถูกขโมยมาได้อย่างไร 1
5
20
ทำไม MFA ของผู้ใช้จึงไม่หยุดการลงชื่อเข้าใช้
กิจกรรมนี้ยืนยันตัวตนในนามของแอป หรือที่เรียกว่า service principal ไม่ใช่บัญชีผู้ใช้รายบุคคล ดังนั้น MFA ที่ใช้กับผู้ใช้จึงไม่ได้เป็นส่วนหนึ่งของขั้นตอนลงชื่อเข้าใช้แบบแอป ประเด็นนี้ต่างจากกรณีที่ผู้โจมตีข้าม MFA ของบัญชีผู้ใช้ 7
11
สิทธิ์ที่แอปได้รับอาจเปิดทางให้เข้าถึงทรัพยากร Microsoft 365 เช่น อีเมล OneDrive, SharePoint, Teams และข้อมูลไดเรกทอรี แต่การมีสิทธิ์เข้าถึงไม่ได้แปลว่ามีการอ่านข้อมูลเหล่านั้นทั้งหมด ใน tenant 9 แห่งที่ Todyl ตรวจสอบ บริษัทพบการลงชื่อเข้าใช้โดยไม่ได้รับอนุญาตเท่านั้น ผลตรวจในจำนวนจำกัดนี้ไม่ได้บอกว่าเกิดอะไรขึ้นใน tenant อื่น 6
19
29
พบสัญญาณการคงอยู่ในระบบด้วย
Huntress รายงานว่าพบการกำหนดบทบาทไดเรกทอรีให้ตัวเองในเกือบ 50 tenant ในกรณีหนึ่ง แอปสำหรับจัดการ Teams เพิ่มบทบาท Global Administrator ให้ตัวเอง และเพิ่มข้อมูลรับรองให้แอปอื่น รวมถึงแอปเครื่องมือจัดการของผู้ให้บริการ MSP และแอปของ Huntress ข้อมูลรับรองที่เพิ่มขึ้นเหล่านี้อาจเปิดช่องทางเข้าถึงแยกจากการเชื่อมต่อ Cloud Backup เดิม 1
9
ด้วยเหตุนี้ การปิดการเชื่อมต่อกับผู้ให้บริการเพียงอย่างเดียวอาจไม่ครอบคลุมการเปลี่ยนแปลงทั้งหมดที่เกิดขึ้นระหว่างการบุกรุก ผู้ดูแลระบบควรตรวจสอบทั้งข้อมูลลับของแอปที่ไม่คุ้นเคยและการกำหนดบทบาทที่ผิดปกติ 1
13
สถานะข้อมูลสำรอง และสิ่งที่ยังไม่ทราบ
ConnectWise ระบุว่ายังไม่พบสัญญาณว่าข้อมูลสำรองของพาร์ตเนอร์ถูกเข้าถึง และระบุว่าไฟล์สำรองที่มีอยู่จะกลับมาใช้งานได้เมื่อกู้คืนบริการแล้ว คำชี้แจงนี้เกี่ยวข้องกับคลังข้อมูลสำรอง ไม่ได้ยืนยันว่าข้อมูล Microsoft 365 ของลูกค้าไม่ได้รับผลกระทบ และยังไม่มีการประกาศวันที่จะเปิดบริการคืนในอัปเดตที่รายงาน 4
19
ในการอัปเดตวันที่ 17 ตุลาคม ConnectWise ระบุว่าได้เพิกถอนใบรับรองที่ใช้กับการเชื่อมต่อแอปที่ได้รับผลกระทบ และยกเลิกข้อมูลรับรอง Cloud Backup ที่ใช้ร่วมกันแล้ว การระงับบริการและการจัดการข้อมูลรับรองเป็นมาตรการควบคุมเหตุการณ์ แต่ยังไม่ใช่ข้อสรุปสุดท้ายเกี่ยวกับขอบเขตความเสียหาย 3
ข้อมูลที่เปิดเผยในขณะนี้ยังไม่ยืนยันจำนวนองค์กรที่ได้รับผลกระทบทั้งหมด ปริมาณข้อมูลที่อาจถูกขโมย หรือจุดเริ่มต้นที่ทำให้ข้อมูลรับรองของผู้ให้บริการรั่วไหล รายงานของบริษัทความปลอดภัยแต่ละแห่งตรวจสอบ tenant คนละกลุ่ม จึงไม่ควรนำผลตรวจจากบริษัทใดบริษัทหนึ่งไปถือเป็นภาพรวมของทุกสภาพแวดล้อมที่เกี่ยวข้อง 1
9
19
ผู้ดูแล Microsoft 365 ควรทำอะไร
- ปิดแอปที่ได้รับผลกระทบและเก็บหลักฐานไว้ Huntress แนะนำให้องค์กรที่ได้รับผลกระทบปิดแอป อย่าเพิ่งลบแอปก่อนตรวจสอบบันทึกการลงชื่อเข้าใช้ การเปลี่ยนบทบาท และข้อมูลรับรองที่เกี่ยวข้อง และควรทำตามคำแนะนำล่าสุดจากผู้ให้บริการและทีมรับมือเหตุการณ์ก่อนเปิดใช้งานอีกครั้ง
9
13
- ตรวจสอบแอปอื่นนอกเหนือจาก Cloud Backup มองหาข้อมูลลับหรือข้อมูลรับรองที่เพิ่มเข้ามาโดยไม่คาดหมายตั้งแต่วันที่ 13 ตุลาคม รวมถึงบทบาทที่ไม่คุ้นเคย การหมุนเวียนข้อมูลรับรองของผู้ให้บริการหรือการระงับบริการ ไม่ได้ลบข้อมูลรับรองที่ผู้โจมตีอาจเพิ่มไว้ในแอปอื่นโดยอัตโนมัติ
1
- แยกตรวจการลงชื่อเข้าใช้ของแอปออกจากบัญชีผู้ใช้ เนื่องจากเหตุการณ์นี้ใช้ตัวตนของแอป การตรวจสอบเฉพาะเหตุการณ์ MFA ของผู้ใช้ยังไม่เพียงพอที่จะประเมินกิจกรรมนี้
7
- อย่าถือว่าการไม่พบบันทึกตรวจสอบแปลว่าไม่มีการเข้าถึง การอ่านข้อมูลไดเรกทอรีบางประเภทผ่าน Microsoft Graph อาจไม่ทิ้งบันทึกใน directory audit trail จึงใช้การไม่มีบันทึกเป็นหลักฐานยืนยันว่าไม่มีการเข้าถึงหรือการสำรวจระบบไม่ได้
บทเรียนสำคัญคือการเชื่อมต่อกับผู้ให้บริการที่ได้รับความไว้วางใจอาจมีสิทธิ์เข้าถึงข้ามหลาย tenant ในเหตุการณ์นี้ การพบการลงชื่อเข้าใช้ของแอปโดยไม่ได้รับอนุญาตและสัญญาณการคงอยู่ในระบบเป็นเหตุให้ต้องตรวจสอบ แม้ยังไม่มีข้อยืนยันว่าข้อมูลถูกขโมยไปแล้วก็ตาม 9
15
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "เหตุโจมตี ConnectWise Cloud Backup กระทบ Microsoft 365: ผู้ดูแลระบบควรรู้อะไร" คืออะไร
Huntress รายงานการลงชื่อเข้าใช้ Microsoft 365 โดยไม่ได้รับอนุญาตใน 173 tenant ผ่านข้อมูลรับรองของแอป ConnectWise Cloud Backup ที่ถูก компромิต แต่ตัวเลขนี้ไม่ได้ยืนยันว่ามีการขโมยข้อมูลครบทุก tenant
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
Huntress รายงานการลงชื่อเข้าใช้ Microsoft 365 โดยไม่ได้รับอนุญาตใน 173 tenant ผ่านข้อมูลรับรองของแอป ConnectWise Cloud Backup ที่ถูก компромิต แต่ตัวเลขนี้ไม่ได้ยืนยันว่ามีการขโมยข้อมูลครบทุก tenant การโจมตีใช้ตัวตนของแอป ไม่ใช่บัญชีผู้ใช้ จึงไม่ผ่านขั้นตอน MFA ของผู้ใช้ ผู้ดูแลระบบควรปิดแอปที่ได้รับผลกระทบและตรวจสอบบทบาทกับข้อมูลรับรองของแอปอื่น ๆ ด้วย