Câu trả lờiĐã xuất bản23 nguồn
Sự cố ConnectWise Cloud Backup: điều quản trị viên Microsoft 365 cần biết
Huntress ghi nhận các lần đăng nhập trái phép vào 173 môi trường Microsoft 365 của đối tác và khách hàng bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup bị xâm phạm. Kẻ tấn công đăng nhập với danh tính ứng dụng đã được tin cậy, không phải tài khoản người dùng, nên MFA dành cho người dùng không áp dụng tron...
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- Huntress ghi nhận các lần đăng nhập trái phép vào 173 môi trường Microsoft 365 của đối tác và khách hàng bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup bị xâm phạm.
- Kẻ tấn công đăng nhập với danh tính ứng dụng đã được tin cậy, không phải tài khoản người dùng, nên MFA dành cho người dùng không áp dụng trong luồng xác thực đó.
- Số lần đăng nhập được xác nhận không chứng minh dữ liệu đã bị đánh cắp ở cả 173 môi trường; phạm vi ảnh hưởng cuối cùng và nguồn gốc thông tin xác thực bị lộ vẫn chưa rõ.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Thông tin xác thực của ConnectWise Cloud Backup, trước đây mang tên SkyKick, đã bị lợi dụng để lấy token truy cập Microsoft Graph trên nhiều môi trường Microsoft 365 của khách hàng. Huntress ghi nhận đăng nhập trái phép tại 173 tenant của đối tác và khách hàng. Đây là số môi trường có hoạt động đăng nhập được xác nhận, không phải bằng chứng dữ liệu đã bị lấy khỏi cả 173 nơi. Tổng mức độ ảnh hưởng và cách thông tin xác thực ban đầu bị lộ vẫn chưa được làm rõ. 1
6
9
Chuyện gì đã xảy ra?
Microsoft mô tả đây là một cuộc tấn công chuỗi cung ứng, trong đó ứng dụng OAuth đáng tin cậy của ConnectWise Cloud Backup bị xâm phạm. Khách hàng đã cấp quyền cho ứng dụng đa tenant này để ứng dụng vận hành trong môi trường Microsoft 365 của họ. Theo điều tra, kẻ tấn công lợi dụng chính các quyền đã được cấp từ trước để lấy token truy cập trên nhiều tenant, trong đó có quyền rộng như Directory.ReadWrite.All. 9
15
Số liệu Huntress công bố tăng từ 162 tenant vào lúc 19:00 UTC ngày 16/10 lên 173 trong bản cập nhật sau đó. Đây là các tenant có đăng nhập trái phép được xác nhận, không phải số liệu cuối cùng về các tổ chức bị ảnh hưởng và cũng không chứng minh thông tin đã bị lấy ở từng tenant. 1
6
9
Dấu vết thời gian và địa chỉ IP
Huntress quan sát ứng dụng lấy token Microsoft Graph từ địa chỉ 144.172.64[.]128 trong khoảng 06:13–08:34 UTC ngày 15/10. Hoạt động chuyển nhanh giữa các tenant gợi ý việc truy cập được tự động hóa. Huntress cũng ghi nhận các lần thử dò mật khẩu không thành công nhằm vào bốn tenant của hãng luật, xuất phát từ cùng địa chỉ IP, trong ngày 13 và 14/10. Những lần thử trước đó không cho biết thông tin xác thực Cloud Backup bị xâm phạm bằng cách nào. 1
5
20
Vì sao MFA của người dùng không chặn được hoạt động này?
Các lần đăng nhập được thực hiện dưới danh tính ứng dụng — còn gọi là service principal — chứ không phải tài khoản của một cá nhân. Vì vậy, MFA dành cho người dùng không nằm trong luồng xác thực ứng dụng này. Điều đó khác với việc kẻ tấn công vượt qua MFA của tài khoản người dùng. 7
11
Quyền sẵn có của ứng dụng có thể mở đường tới các tài nguyên Microsoft 365 như email, OneDrive, SharePoint, Teams và dữ liệu thư mục. Tuy nhiên, quyền truy cập tiềm năng không chứng minh rằng các tài nguyên này đã bị đọc. Trong chín tenant được kiểm tra, Todyl ghi nhận đăng nhập trái phép; kết quả giới hạn đó không cho biết điều gì đã xảy ra ở các tenant khác. 6
19
29
Có dấu hiệu duy trì quyền truy cập
Huntress cho biết đã phát hiện các vai trò thư mục tự gán tại gần 50 tenant. Trong một trường hợp được quan sát, một ứng dụng quản lý Teams tự cấp cho mình vai trò Global Administrator, rồi thêm thông tin xác thực vào các ứng dụng khác, trong đó có ứng dụng quản lý công cụ của một nhà cung cấp dịch vụ quản lý (MSP) và ứng dụng của Huntress. Những thông tin xác thực được thêm này có thể tạo ra đường truy cập riêng, không phụ thuộc vào tích hợp Cloud Backup ban đầu. 1
9
Vì vậy, chỉ tắt tích hợp của nhà cung cấp có thể chưa đủ để xử lý mọi thay đổi trong lúc xâm nhập. Quản trị viên cũng nên rà soát các bí mật ứng dụng lạ và những lần gán vai trò bất thường. 1
13
Tình trạng bản sao lưu và những điều chưa rõ
ConnectWise cho biết chưa có dấu hiệu dữ liệu bản sao lưu của đối tác bị truy cập, đồng thời nói các kho lưu trữ hiện có sẽ khả dụng trở lại sau khi dịch vụ được khôi phục. Thông tin này chỉ nói về kho bản sao lưu; nó không chứng minh dữ liệu Microsoft 365 của khách hàng vẫn nguyên vẹn. Bản cập nhật được đưa tin không nêu ngày khôi phục dịch vụ. 4
19
Trong cập nhật ngày 17/10, ConnectWise cho biết đã thu hồi chứng thư dùng cho các kết nối ứng dụng bị ảnh hưởng và vô hiệu hóa thông tin xác thực Cloud Backup được chia sẻ. Việc gián đoạn dịch vụ và thu hồi thông tin xác thực là các bước ngăn chặn, chưa phải kết luận cuối cùng về tác động của sự cố. 3
Các thông tin hiện có chưa xác định được tổng số tổ chức bị ảnh hưởng, mức độ dữ liệu có thể đã bị lấy cắp, hay nguồn gốc của thông tin xác thực ban đầu. Các hãng bảo mật cũng kiểm tra những nhóm tenant khác nhau, vì vậy phát hiện của một đơn vị không thể xem là bức tranh đầy đủ cho mọi môi trường. 1
9
19
Quản trị viên Microsoft 365 nên làm gì?
- Tạm vô hiệu hóa ứng dụng bị ảnh hưởng và giữ lại dấu vết điều tra. Huntress khuyến nghị các tổ chức bị ảnh hưởng vô hiệu hóa ứng dụng. Tránh xóa ứng dụng trước khi rà soát nhật ký đăng nhập, thay đổi vai trò và thông tin xác thực; làm theo hướng dẫn ứng phó sự cố hiện hành trước khi kết nối lại.
9
13
- Kiểm tra cả những ứng dụng khác ngoài Cloud Backup. Tìm các bí mật hoặc thông tin xác thực không nhận diện được, đặc biệt là những mục được thêm từ ngày 13/10 trở đi, đồng thời rà soát việc gán vai trò bất thường. Xoay vòng thông tin xác thực của nhà cung cấp hoặc tạm dừng dịch vụ không tự động xóa thông tin mà kẻ tấn công có thể đã thêm vào ứng dụng khác.
1
- Rà soát đăng nhập ứng dụng riêng với đăng nhập người dùng. Vì hoạt động này dùng danh tính ứng dụng, chỉ kiểm tra sự kiện MFA của người dùng là chưa đủ để đánh giá.
7
- Đừng xem việc thiếu nhật ký kiểm tra là bằng chứng không có truy cập. Một số thao tác đọc dữ liệu thư mục qua Microsoft Graph có thể không tạo dấu vết trong nhật ký kiểm tra thư mục, nên không thấy sự kiện không đồng nghĩa chắc chắn không có truy cập.
Bài học chính là một tích hợp đáng tin cậy có thể mang theo quyền truy cập rộng trên nhiều môi trường khách hàng. Trong sự cố này, các lần đăng nhập ứng dụng được xác nhận cùng dấu hiệu duy trì quyền truy cập là đủ lý do để điều tra, ngay cả khi chưa có bằng chứng dữ liệu bị lấy cắp. 9
15
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "Sự cố ConnectWise Cloud Backup: điều quản trị viên Microsoft 365 cần biết" là gì?
Huntress ghi nhận các lần đăng nhập trái phép vào 173 môi trường Microsoft 365 của đối tác và khách hàng bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup bị xâm phạm.
Những điểm chính cần xác nhận đầu tiên là gì?
Huntress ghi nhận các lần đăng nhập trái phép vào 173 môi trường Microsoft 365 của đối tác và khách hàng bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup bị xâm phạm. Kẻ tấn công đăng nhập với danh tính ứng dụng đã được tin cậy, không phải tài khoản người dùng, nên MFA dành cho người dùng không áp dụng trong luồng xác thực đó.
Tôi nên làm gì tiếp theo trong thực tế?
Số lần đăng nhập được xác nhận không chứng minh dữ liệu đã bị đánh cắp ở cả 173 môi trường; phạm vi ảnh hưởng cuối cùng và nguồn gốc thông tin xác thực bị lộ vẫn chưa rõ.