هکرها از طریق حمله زنجیره تامین ConnectWise به مستاجران مایکروسافت 365 نفوذ می کنند

پس از اینکه هکرها به هویت برنامه دسترسی پیدا کردند و مستاجران مایکروسافت 365 را به خطر انداختند، ConnectWise دسترسی مشتری به سرویس Cloud Backup خود (که قبلا SkyKick Cloud Backup نام داشت) را قطع کرد.

گزارش‌های مربوط به این فعالیت مخرب از روز جمعه آغاز شد و مدیران دسترسی غیرمجاز به داده‌های مشتری در مستاجران مایکروسافت 365 را به دلیل «نقض SkyKick/CW» مشاهده کردند.

بعدا در همان روز، پلت فرم مدیریت شده امنیت سایبری و تشخیص تهدید هانترس این نگرانی ها را تأیید کرد و گفت که حداقل 162 مستأجر در معرض خطر را در محیط خود شناسایی کرده است.

در پست امروز مایکروسافت همچنین فعالیت مخرب مربوط به سرویس پشتیبان‌گیری ابری ConnectWise را تأیید کرد و گفت که تلاش‌های احراز هویت غیرمجاز از یک آدرس IP را در 15 اکتبر شناسایی کرده است.

راه‌حل‌های پشتیبان‌گیری ابری ConnectWise خدمات پشتیبان‌گیری و بازیابی را ارائه می‌کنند که به ارائه‌دهندگان خدمات مدیریت شده (MSP) و تیم‌های فناوری اطلاعات کمک می‌کند از داده‌های مشتری، مانند ایمیل‌ها و فایل‌ها، در محیط‌های ابری از جمله Microsoft 365 و Google Workspace محافظت و بازیابی کنند.

برای پشتیبان‌گیری Microsoft 365، این سرویس به مجوزهایی که از طریق Microsoft Entra ID اعطا شده است، متکی است. هویت برنامه‌ای که به عنوان «اصل سرویس» شناخته می‌شود، نرم‌افزار را در مستاجر مشتری نشان می‌دهد و آن را قادر می‌سازد تا بر اساس مجوزهای اعطا شده به منابع دسترسی داشته باشد.

در یک مشاوره امنیتی، ConnectWise گفت که «اخیرا دسترسی غیرمجاز به هویت برنامه‌ها را در محیط ConnectWise Cloud Backup شناسایی کرده است» و دسترسی برنامه‌ها را برای شرکا و مشتریان خود قطع کرده است.

ConnectWise می‌گوید: "تا به امروز هیچ نشان‌دهنده‌ای نداریم که داده‌های پشتیبان‌گیری شریک Cloud Backup در معرض خطر قرار گرفته باشد. آرشیو پشتیبان‌گیری ابری موجود تحت تأثیر این وقفه سرویس قرار نمی‌گیرد و پس از بازیابی سرویس‌ها قابل دسترسی خواهد بود."

با این حال، این شرکت تحقیقاتی را آغاز کرده و در تلاش‌های اصلاحی است.

بر اساس گزارش‌های مایکروسافت، هانترس و مدیران، فعالیت مخرب حداقل در 15 اکتبر از یک آدرس IP واحد آغاز شد: 144.172.64[.]128.

یکی از کاربران در Reddit گفت که آنها در 15 اکتبر اعلانی از سرویس مدیریت هویت ممتاز مایکروسافت (PIM) دریافت کردند که در آن یک مدیر سرویس SkyKick با وجود استفاده نکردن از برنامه طی سال‌ها، نقش مدیر Exchange را به خود اختصاص می‌داد.

با این وجود، برخی از شناسه‌های گزارش‌شده برای SkyKick توهین‌آمیز با شناسه‌های ارائه‌شده توسط Huntress، مایکروسافت، و Todyl مطابقت دارند - یک پلتفرم امنیت سایبری در درجه اول برای MSPها و متخصصان فناوری اطلاعات.

به گفته محققان Todyl، مهاجم با استفاده از راز خود مستقیما در مایکروسافت 365 به عنوان برنامه پشتیبان تأیید اعتبار کرد و مجوزهایی را که مشتریان قبلا به آن اعطا کرده بودند به دست آورد.

درخواست‌های ورود به سیستم توسط یک اسکریپت خودکار انجام می‌شد، و از آنجایی که شامل ورود کاربر نبود، حفاظت‌هایی مانند احراز هویت چند عاملی (MFA) بی‌اثر بودند.

تودیل گفت: «از آنجایی که برنامه قبلا دارای مجوزهای گسترده و قبلا در هر مستاجر بود، این ورودها به مهاجم توانایی فنی خواندن و نوشتن نامه‌ها و پیوست‌ها، فایل‌های OneDrive و SharePoint و چت‌های Teams را می‌داد.

در نفوذهای تحلیل شده بر روی 9 مستأجر، محققان Todyl تنها فعالیت ورود به سیستم را شناسایی کردند و شواهدی را پیدا نکردند که عامل تهدید "حساب‌ها را ایجاد کرده، مجوزها را اضافه کرده، رمزهای عبور را تغییر داده یا در هر مستاجر از طریق برنامه پشتیبان‌گیری تداوم داشته باشد."

با این حال، هانترس روی نزدیک به 50 مستأجری که نظارت می‌کرد، دید که مدیران سرویس‌های «برنامه‌های مدیریت ابری ConnectWise (Exchange Online، تیم‌های مایکروسافت، و مایکروسافت گراف) نقش‌هایی را به خود اختصاص داده‌اند، عمدتا مدیر Exchange.

در یکی از مستأجران، محققان Huntress همچنین مشاهده کردند که مهاجم پافشاری کرد و عملیات حدود پنج دقیقه طول کشید.

در طول این فعالیت، Cloud Management – ​​MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) به خود نقش مدیر جهانی اعطا کرد و اعتبارنامه را به ابزار مدیریت MSP و برنامه خود Huntress اضافه کرد.

مایکروسافت همچنین پس از احراز هویت اصلی سرویس موفقیت آمیز، فعالیت پایدار را از طریق یک درب پشتی مشاهده کرد، و به دنبال آن "شناسایی API مایکروسافت Graph و تلاش برای افزودن اعتبار اضافی".

لازم به ذکر است که هر سه شرکت امنیت سایبری شرکت مخرب را به همان آدرس IP 144.172.64[.]128 ردیابی کردند.

Microsoft Threat Intelligence این حادثه را یک حمله فعال زنجیره تامین توصیف کرد و ارزیابی کرد که مهاجم احتمالا از مجوزهای موجود از جمله Directory.ReadWrite.All سوء استفاده کرده است.

هانترس شناسه برنامه پشتیبان ابری قانونی 506e08f9-6e9a-4da4-942b-a099a03644ae مورد استفاده در حملات را شناسایی کرد. تحقیقات آن همچنین نشانی IP مهاجم را به تلاش‌های ورود به سیستم اسکریپت‌شده در 13 و 14 اکتبر با عامل کاربر curl/7.88.1 مرتبط کرد.

بر اساس شواهد فعلی، حداقل سه عامل کاربر مرتبط با فعالیت سرویس مخرب Cloud Backup وجود دارد: python-urllib/3.12، python-requests/2.31، python-requests/2.34.2.

ConnectWise توصیه می کند که مدیران ورود به سیستم اصلی سرویس را در Entra بررسی کنند، با شناسه برنامه پشتیبان ابری فیلتر کنند و آدرس های منبع غیرمنتظره را بررسی کنند.

مایکروسافت همچنین توصیه می‌کند تغییرات اعتبار برنامه، کمک‌های OAuth و فعالیت‌های مربوط به Graph را بررسی کنید.

Huntress به مدیران توصیه می‌کند برنامه‌های کاربردی ConnectWise را غیرفعال کنند، همچنین اعتبار برنامه‌ها را برای افزودن‌های غیرمجاز بررسی کنند و سایر ادغام‌های Cloud Management را بررسی کنند.

این شرکت خاطرنشان می‌کند که مستاجران مسن‌تر ممکن است برنامه‌های مدیریت ابر را در زیر «SkyKick Cloud Manager» فهرست کنند.

این شرکت فهرست گسترده‌ای از شناسه‌های برنامه را برای مدیران فراهم می‌کند تا به دنبال آن باشند:

خاموش شدن فروشنده، اعتبارنامه‌هایی را که قبلا در مستاجران مشتری نصب شده است، حذف نمی‌کند. Huntress می‌گوید که مدیران باید اسرار و گواهی‌های همه برنامه‌ها را برای افزودن‌های غیرمجاز از 13 اکتبر بررسی کنند و آن ورودی‌ها را حذف کنند.

Todyl هشدار می‌دهد که غیرفعال کردن یک برنامه مانع از صدور توکن‌های جدید می‌شود، اما توکن‌های موجود تا زمانی که منقضی شوند معتبر می‌مانند و لغو جلسات کاربر به دسترسی مبتنی بر برنامه پایان نمی‌دهد.

ConnectWise قطع سرویس پشتیبان را در ساعت 05:01 UTC در 17 اکتبر اعلام کرد، اما جدول زمانی برای بازیابی اتصال ارائه نکرد.

این شرکت هیچ مدرکی مبنی بر به خطر افتادن پشتیبان‌های ذخیره شده گزارش نکرد و گفت که بایگانی‌های موجود در صورت بازیابی خدمات قابل دسترسی خواهند بود.

در زمان انتشار تعداد قربانیان و میزان سرقت داده ها و همچنین روشی که مهاجم برای به دست آوردن اعتبار فروشنده استفاده کرده است، نامشخص است.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.