AnswersPublished23 sources
Атака через ConnectWise Cloud Backup: що потрібно знати адміністраторам Microsoft 365
Huntress повідомила про несанкціоновані входи через скомпрометовані дані ConnectWise Cloud Backup у 173 середовищах Microsoft 365; це не означає, що викрадення даних підтверджено в кожному з них. Оскільки зловмисники входили як довірена програма, а не як користувачі, MFA для облікових записів користувачів не застосо...
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- Huntress повідомила про несанкціоновані входи через скомпрометовані дані ConnectWise Cloud Backup у 173 середовищах Microsoft 365; це не означає, що викрадення даних підтверджено в кожному з них.
- Оскільки зловмисники входили як довірена програма, а не як користувачі, MFA для облікових записів користувачів не застосовувалася до цього потоку автентифікації.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Скомпрометовані дані доступу ConnectWise Cloud Backup, раніше відомого як SkyKick, використали для отримання токенів Microsoft Graph у клієнтських середовищах Microsoft 365. Huntress повідомила про несанкціоновані входи у 173 середовища партнерів і клієнтів. Це число не означає, що викрадення даних підтверджено в кожному з них. Загальний масштаб інциденту та спосіб компрометації початкових даних доступу поки невідомі. 1
6
9
Що сталося
Microsoft описала інцидент як атаку на ланцюг постачання через компрометацію довіреної OAuth-програми. Клієнти раніше надали багатоклієнтській програмі Cloud Backup дозволи для роботи у своїх середовищах. За даними розслідувачів, зловмисник скористався вже наданими дозволами, щоб отримувати токени в різних клієнтських середовищах. Серед дозволів був широкий доступ до каталогу, зокрема Directory.ReadWrite.All. 9
15
Спочатку Huntress повідомила про 162 середовища станом на 19:00 UTC 16 жовтня, а в наступному оновленні збільшила кількість до 173. Це підтверджені несанкціоновані входи, а не остаточна кількість постраждалих організацій і не доказ того, що в кожному середовищі зловмисники прочитали дані. 1
6
9
Хронологія та IP-адреса
Huntress зафіксувала, що 15 жовтня з 06:13 до 08:34 UTC програма отримувала токени Microsoft Graph з IP-адреси 144.172.64[.]128. Швидке переміщення між клієнтськими середовищами вказувало на автоматизовану активність. Huntress також повідомила про невдалі спроби підбору паролів у чотирьох середовищах юридичних фірм із тієї самої IP-адреси 13 і 14 жовтня. Однак ці попередні спроби не доводять, як саме було скомпрометовано дані доступу Cloud Backup. 1
5
20
Чому MFA для користувачів не зупинила входи
Зловмисники автентифікувалися як ідентичність програми — також відому як service principal, — а не як окремий користувач. Тому MFA для користувачів не була частиною цього потоку входу. Це не те саме, що обхід MFA в обліковому записі користувача. 7
11
Наявні в програми дозволи потенційно могли забезпечити доступ до ресурсів Microsoft 365 — зокрема пошти, OneDrive, SharePoint, Teams і даних каталогу. Але широта дозволів сама по собі не підтверджує, що всі ці ресурси переглядали. Todyl зафіксувала несанкціоновані входи у дев’яти середовищах, які досліджувала; цей обмежений результат не показує, що відбувалося в інших середовищах. 6
19
29
Ознаки закріплення в середовищах
Huntress повідомила, що майже у 50 середовищах знайшла призначені самими програмами ролі в каталозі. В одному зафіксованому випадку програма для керування Teams призначила собі роль глобального адміністратора та додала облікові дані до інших програм, зокрема до застосунку керування MSP і програми Huntress. Такі додаткові облікові дані могли створити шляхи доступу, окремі від початкової інтеграції Cloud Backup. 1
9
Тому простого вимкнення інтеграції постачальника може бути недостатньо, якщо під час вторгнення змінили інші програми. Адміністраторам також варто шукати невідомі секрети програм і несподівані призначення ролей. 1
13
Що відомо про резервні копії — і чого поки не підтверджено
ConnectWise заявила, що не має ознак доступу до резервних даних партнерів, а наявні архіви будуть доступні після відновлення сервісу. Це стосується саме архівів резервних копій і не доводить, що дані клієнтів у Microsoft 365 не зачепили. У повідомленому оновленні дату відновлення сервісу не назвали. 4
19
В оновленні від 17 жовтня ConnectWise повідомила, що відкликала сертифікати, які використовувалися для уражених підключень програм, і анулювала спільні дані доступу Cloud Backup. Переривання роботи сервісу та ці дії є заходами стримування, а не остаточним звітом про наслідки інциденту. 3
Наявні повідомлення не встановлюють остаточну кількість постраждалих організацій, масштаб можливого викрадення даних або джерело початкової компрометації. Дослідження різних компаній охоплювали різні набори середовищ, тож висновки однієї з них не слід вважати повною картиною інциденту. 1
9
19
Що робити адміністраторам Microsoft 365
- Вимкніть уражені програми, але збережіть дані для розслідування. Huntress радить постраждалим організаціям вимкнути програму. Перш ніж видаляти її, перевірте журнали входів, зміни ролей і облікових даних. Перед повторним підключенням дотримуйтеся актуальних рекомендацій постачальника та фахівців із реагування на інциденти.
9
13
- Перевірте не лише Cloud Backup, а й інші програми. Шукайте неочікувані секрети чи облікові дані, додані від 13 жовтня, а також незнайомі призначення ролей. Зміна даних доступу постачальника або зупинка сервісу автоматично не видаляє облікові дані, додані до інших програм.
1
- Окремо аналізуйте входи програм і користувачів. Оскільки в цій кампанії використовували ідентичність програми, перевірки лише подій MFA для користувачів недостатньо, щоб оцінити інцидент.
7
- Не вважайте відсутність записів аудиту доказом відсутності доступу. Деякі операції читання даних каталогу через Microsoft Graph можуть не залишати запису в журналі аудиту каталогу, тому відсутність таких подій не дає повної відповіді.
Головний висновок: довірена інтеграція може мати значні права в середовищах багатьох клієнтів. У цьому випадку підтверджені входи програми та повідомлення про спроби закріпитися в середовищах — достатня підстава для розслідування, навіть якщо викрадення даних не встановлено. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Атака через ConnectWise Cloud Backup: що потрібно знати адміністраторам Microsoft 365"?
Huntress повідомила про несанкціоновані входи через скомпрометовані дані ConnectWise Cloud Backup у 173 середовищах Microsoft 365; це не означає, що викрадення даних підтверджено в кожному з них.
What are the key points to validate first?
Huntress повідомила про несанкціоновані входи через скомпрометовані дані ConnectWise Cloud Backup у 173 середовищах Microsoft 365; це не означає, що викрадення даних підтверджено в кожному з них. Оскільки зловмисники входили як довірена програма, а не як користувачі, MFA для облікових записів користувачів не застосовувалася до цього потоку автентифікації.