ConnectWise арқылы хакерлер Microsoft 365-ті бұзды
Шабуылшы клиенттердің поштасы мен файлдарына қосымшаның өз атынан кірген, сондықтан екі факторлы қорғаныс іске қосылмады.
Фото: BleepingComputer
Белгісіз шабуылшы ConnectWise Cloud Backup клиенттерінің Microsoft 365 бұлттық кеңселеріне қол жеткізді. Бұл — IT-мердігерлерге арналған сақтық көшірме сервисі. Тек Huntress компаниясының өзі кемінде 162 бұзылған ұйымды санады. Microsoft оқиғаны жеткізу тізбегіне жасалған белсенді шабуыл деп атады, ал ConnectWise 17 қазанда сервисті барлық клиент үшін өшірді.
Cloud Backup бұрын SkyKick Cloud Backup деп аталған. Ол Microsoft 365 пен Google Workspace-тегі поштаны, файлдарды және басқа деректерді сақтайды. Оны өзге бизнестің IT-инфрақұрылымына қызмет көрсететін компаниялар пайдаланады. Көшірме жасау үшін қосымша Microsoft бұлтынан кең құқық алады.
Шабуыл қалай өтті
Шабуылшы ConnectWise қосымшаларының есептік деректерін қолға түсірді. Содан кейін бөтен бұлттарға солардың атынан скрипт арқылы кірді. Жүйеге адам кірмеген, сондықтан екі факторлы қорғаныс іске қосылмады. Ал қосымшаның құқығы поштаны, OneDrive мен SharePoint файлдарын және Teams хаттарын оқып, өзгертуге мүмкіндік берді.
Todyl компаниясы тоғыз шабуылды талдап, тек жүйеге кіру іздерін тапты. Жаңа аккаунт та, жасырын бекіну де байқалмады. Huntress көбірек көрді. Ол бақылайтын 50-ге жуық бұлтта ConnectWise қызметтік қосымшалары өздеріне Exchange әкімшісі рөлін берген. Бір жағдайда Cloud Management қосымшасы бес минутта жаһандық әкімші құқығын алып, басқа сервистерге кілт қосқан.
Microsoft күдікті кірулерді кемінде 15 қазаннан, Huntress 13 қазаннан бері тіркеп отыр. Үш компания да шабуылды бір IP-мекенжаймен байланыстырды. Оның артында кім тұрғаны және шабуылшы жеткізушінің кілттерін қалай алғаны әзірге белгісіз. Қанша дерек ұрланғаны да айтылмады.
Компаниялар не дейді
ConnectWise қосымшалардың есептік деректеріне «рұқсатсыз қол жеткізуді» анықтағанын хабарлап, олардың қолжетімділігін жапты. Компанияның сөзінше, серіктестердің сақтық көшірмелері ұрланғаны туралы белгі әзірге жоқ. Ескі архивтер сервис қалпына келген соң қолжетімді болады. Бірақ қашан қалпына келетінін ConnectWise айтпады.
Мамандар Microsoft Entra ID-дегі ConnectWise қосымшаларын өшіріп, 13 қазаннан бергі жаңа кілттер мен құқықтарды тексеруге және рұқсаттарды кері қайтаруға кеңес береді. Todyl ескертеді: қосымшаны өшіргенмен, бұрын берілген токендер мерзімі біткенше жұмыс істей береді. Пайдаланушы сессияларын қайта бастау да қосымшаның қолжетімділігін жаппайды.
Microsoft 365-ті қазақстандық компаниялар да қолданады, көбі бұлтты мердігерлерге күттіреді. Қазақстанда зардап шеккендер туралы әзірге хабар жоқ. Қазанда сенімді арналар арқылы жасалатын шабуылдар жиіледі: осы аптада зерттеушілер Candiru тыңшы бағдарламасы құрбандарына қарапайым жарнама арқылы жұққанын айтты.
Дереккөздер: BleepingComputer — ConnectWise Cloud Backup арқылы шабуыл
