ConnectWise מטפלת באירוע אבטחה שבו התקבלה גישה לא מורשית לזהויות אפליקציה הקשורות למוצר Cloud Backup. השירות נשאר מנותק, וזה נוגע בעיקר לספקי שירותים מנוהלים (MSP) שמגבים דרכו סביבות Microsoft 365 של לקוחות.
הפרטים
החברה זיהתה את האירוע והחלה בצעדי הכלה ב-17 באוקטובר. היא ניתקה חיבורי אפליקציה מושפעים, השביתה את Cloud Backup ובאמצעי זהירות גם את SaaS Security ו-Cloud Management, שמשולבים בו, החליפה אישורי אפליקציה ושכרה מומחי תגובה חיצוניים. ב-20 באוקטובר דיווחה על השלמת איפוס חשבונות ואישורים והיערכות לשחזור מדורג. לדבריה לא נצפתה פעילות תוקפים מוצלחת בסביבות שהיא מנטרת ואין ראיה שמוצרים אחרים נפגעו, אך הממצאים אינם קובעים אם טננטים בודדים נפגעו.
לפי Huntress, שבדקה לוגי כניסה ביותר מ-10,000 טננטים, הווקטור העיקרי היה כניסות אפליקציה באמצעות אישור ספק. בטננט אחד שנפגע האפליקציה העניקה לעצמה הרשאת Global Administrator והוסיפה סודות לאפליקציות אחרות לצורך התמדה. נראה שהיו קריאות ספרייה דרך Microsoft Graph, ללא סימן לשינוי בתיבות דואר, בקבצים, במשתמשים או במדיניות.
נקודות לשים לב
- אל תחבר מחדש אפליקציות מושפעות עד ש-ConnectWise תפרסם הוראות שחזור רשמיות.
- לפני שינויים, שמור ראיות (לוגי כניסה, רשימות אפליקציות ו-service principals) ורק אחר כך תקן.
- בכל טננט של Microsoft 365 שחובר, חפש אפליקציות ארגוניות לא מוכרות, סודות חדשים באפליקציות קיימות והקצאות של Global Administrator לאפליקציה.
- עיין בהנחיות הטכניות ובאינדיקטורים של ConnectWise ושל Huntress, כולל כתובות ה-IP שפורסמו.
- לא נכון להסיק עדיין שכל הלקוחות נפגעו: ההיקף בפועל לא נקבע, והטענה שלא נראה נזק היא של הספקים.
מקורות: The Hacker News · Huntress · ConnectWise
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
