תוקפים השתמשו באישור (credential) גנוב של אפליקציית ConnectWise Cloud Backup (לשעבר SkyKick) כדי לקבל טוקנים ל-Microsoft Graph בדיירי Microsoft 365 של שותפים ולקוחות. לפי Huntress, נצפו כניסות לא מורשות מאושרות ב-173 דיירים. הסיפור עדיין מתפתח.
הפרטים
האפליקציה מקבלת הרשאות רחבות בכל דייר שבו היא מותקנת: דואר, OneDrive, SharePoint, Teams ונתוני ספרייה. ב-13 וב-14 באוקטובר 2026 כתובת IP אחת ביצעה ניסיונות password spray מול ארבעה דיירים של משרדי עורכי דין, בלי כניסות משתמש מוצלחות. ב-15 באוקטובר, בין 06:13 ל-08:34 UTC, התקבלו טוקנים בדיירי לקוחות מאותה כתובת, בסדר ממוין של מזהי הדיירים ובהפרשים של שניות, מה שמרמז על רשימת יעדים אוטומטית.
לפי הדיווח, בדייר שותף אחד אפליקציה נפרדת של ConnectWise (Cloud Management עבור Teams) הוסיפה את עצמה לתפקיד Global Administrator והוסיפה סודות חדשים לשתי אפליקציות מהימנות נוספות, בהן אפליקציית ניהול של MSP. ConnectWise סגרה זמנית את גישת Cloud Backup ולא מצאה עדות לפגיעה בנתוני הגיבוי של השותפים. מי שמאחורי התקיפה לא פורסם.
נקודות לשים לב
- בדוק ב-Entra Admin Center תחת Monitoring → Sign-in logs בלשונית Service principal sign-ins (לא בלשונית ברירת המחדל של משתמשים) פעילות של האפליקציה ממזהה
506e08f9-6e9a-4da4-942b-a099a03644ae. - חפש כניסות מהכתובת
144.172.64.128ו-User-Agent בשםPython-urllib/3.12. כתובות מחוץ לטווחי Microsoft/Azure הן חשודות. - בדוק ביומני הביקורת אם אפליקציות של ConnectWise או SkyKick הוסיפו את עצמן לתפקיד ספרייה, או אם נוספו סודות לאפליקציות מאז 13 באוקטובר 2026.
- השבת את האפליקציה עד שהיצרן מאשר איפוס מלא של האישורים והפעל יומני Microsoft Graph activity. ניתוק סשנים של משתמשים לא מספיק: לפי Todyl טוקנים שכבר הונפקו תקפים עד 90 דקות גם אחרי השבתה.
מקורות: Huntress · Todyl · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
