ConnectWise Cloud Backup uygulaması üzerinden Microsoft 365 ortamlarına sızıldı

Kimliği bilinmeyen saldırganlar, yönetilen hizmet sağlayıcılarının (MSP) kullandığı ve eski adı SkyKick Cloud Backup olan ConnectWise Cloud Backup'a ait uygulama kimliklerini ele geçirerek müşterilerin Microsoft 365 ortamlarına giriş yaptı. BleepingComputer ve The Hacker News'in 17 Ekim'de aktardığına göre ConnectWise, soruşturma sürerken hizmete iş ortağı ve müşteri erişimini kapattı. Yedekleme uygulamasının posta kutuları, OneDrive, SharePoint ve Teams verilerine geniş onaylı erişimi bulunduğundan olay, MSP'lerin yönettiği çok sayıda kurumu risk altına sokuyor.

Neler oldu?

BleepingComputer'ın aktardığına göre ConnectWise, "ConnectWise Cloud Backup ortamındaki uygulama kimliklerine yetkisiz erişim" tespit ettiğini açıkladı. Şirket hizmet kesintisini 17 Ekim'de 05:01 UTC'de duyurdu, ancak hizmetin ne zaman geri geleceğine dair bir takvim vermedi. ConnectWise, şimdiye kadar iş ortaklarının yedek verilerinin ele geçirildiğine dair bir işaret bulmadığını ve mevcut arşivlere hizmet yeniden açıldığında erişilebileceğini belirtti.

The Hacker News'e göre güvenlik şirketi Huntress, 173 iş ortağı ve müşteri tenant'ında yetkisiz girişleri doğruladı. Microsoft ise olayı, saldırganın güvenilen bir OAuth uygulamasını ele geçirerek müşteri ortamlarında erişim belirteci (token) aldığı "aktif bir tedarik zinciri saldırısı" olarak tanımladı. Saldırganın üreticiye ait kimlik bilgisini nasıl elde ettiği henüz bilinmiyor.

Teknik detaylar

The Hacker News'in aktardığına göre Huntress, 13-14 Ekim'de 144.172.64[.]128 adresinden dört hukuk bürosunun ortamına parola püskürtme (password spraying) denemeleri yapıldığını, ancak başarılı kullanıcı girişi olmadığını gördü. 15 Ekim'de 06:13-08:34 UTC arasında aynı adres müşteri ortamlarında Microsoft Graph belirteçleri aldı; saldırgan ortamları birkaç saniye arayla, sıralı GUID düzeninde dolaştı. Bu da hazır bir hedef listesiyle çalışan bir betiğe işaret ediyor.

Todyl, saldırganın yedekleme uygulaması adına doğrudan uygulamanın gizli anahtarıyla kimlik doğruladığını, bu nedenle çok faktörlü doğrulamanın devreye girmediğini belirtti. Microsoft, Directory.ReadWrite.All gibi izinlerin büyük olasılıkla kötüye kullanıldığını değerlendirdi; ardından Graph API üzerinden keşif yapıldığını ve arka kapı amacıyla hizmet sorumlularına (service principal) yeni kimlik bilgileri eklenmeye çalışıldığını bildirdi.

BleepingComputer'a göre Huntress, yaklaşık 50 ortamda ConnectWise Cloud Management hizmet sorumlularının kendilerine çoğunlukla Exchange Administrator olmak üzere dizin rolleri atadığını da tespit etti. Bir ortamda "Cloud Management - MS Teams" uygulaması kendisine Global Administrator yetkisi verdi ve bir MSP yönetim aracına ve Huntress'in kendi uygulamasına yeni gizli anahtarlar ekledi.

Kimler etkileniyor?

Microsoft 365 için ConnectWise Cloud Backup veya ilişkili Cloud Management uygulamalarını kullanan MSP'ler ve müşterileri etkileniyor. Meşru Cloud Backup uygulama kimliği 506e08f9-6e9a-4da4-942b-a099a03644ae; eski ortamlarda uygulamalar "SkyKick Cloud Manager" adıyla görünebiliyor. Toplam mağdur sayısı ve veri hırsızlığının boyutu henüz netleşmiş değil.

Ne yapmalı?

• ConnectWise kimlik bilgilerinin yenilendiğini doğrulayana kadar Cloud Backup ve ilişkili Cloud Management uygulamalarını devre dışı bırakın.
• Microsoft Entra'da Service principal sign-ins sekmesini uygulama kimliğine göre filtreleyin, beklenen Azure aralıkları dışındaki adresleri inceleyin.
• 13 Ekim'den bu yana eklenen uygulama kimlik bilgilerini, OAuth izinlerini ve dizin rolü atamalarını denetleyip yetkisiz olanları kaldırın.
• Microsoft Graph etkinlik günlüklerini açın. Todyl'e göre uygulama devre dışı bırakıldıktan sonra da önceden verilmiş belirteçler 90 dakikaya kadar geçerli kalabiliyor; kullanıcı oturumlarını iptal etmek uygulama üzerinden erişimi sonlandırmıyor.