Yönetilen BT hizmetleri sunan ConnectWise, saldırganların ele geçirdiği bir uygulama kimlik bilgisiyle müşterilerin Microsoft 365 ortamlarına girmesinin ardından bulut yedekleme hizmetine erişimi durdurdu. Güvenlik firması Huntress, en az 173 iş ortağı ve müşteri hesabında yetkisiz oturum açıldığını doğruladı. Soruşturma sürüyor.

Saldırgan kullanıcı değil, uygulama olarak giriş yaptı

Olayın merkezinde, eskiden SkyKick adıyla bilinen ve şimdi ConnectWise çatısı altında sunulan Cloud Backup hizmeti var. Huntress’e göre saldırgan, bu hizmete ait kimlik bilgisini 15 Ekim’de kullanarak Microsoft Graph erişim anahtarları aldı. Giriş bir kullanıcı hesabı üzerinden yapılmadığı için çok faktörlü kimlik doğrulama devreye girmedi. Todyl’e göre bu yöntem e-postalara, OneDrive ve SharePoint dosyalarına ve Teams sohbetlerine okuma ve değiştirme erişimi veriyor.

Bazı hesaplarda yönetici yetkisi alındı

Huntress, izlediği yaklaşık 50 hesapta ConnectWise uygulamalarına dizin rolleri atandığını tespit etti. Bir kuruluşta Teams yönetim uygulaması kendisini Genel Yönetici yaptı, ardından bir MSP yönetim aracına ve Huntress’in kendi uygulamasına yeni gizli anahtarlar ekledi. MSP, yani yönetilen hizmet sağlayıcı, başka şirketlerin BT altyapısını işleten firma demek. Microsoft ise olayı, yedekleme aracının güvenilen OAuth uygulamasının ele geçirildiği aktif bir tedarik zinciri saldırısı olarak tanımladı.

Yöneticilere ne öneriliyor?

ConnectWise, iş ortaklarına ait yedek verilerinin ele geçirildiğine dair şu ana kadar bir gösterge bulunmadığını ve arşivlerin hizmet yeniden açıldığında erişilebilir olacağını söylüyor. Kaç kuruluşun etkilendiği ve kimlik bilgisinin nasıl çalındığı ise belirsiz. Huntress, yöneticilere ilgili uygulamaları silmek yerine devre dışı bırakmalarını, 13 Ekim’den bu yana eklenen gizli anahtarları kontrol etmelerini ve ConnectWise kimlik bilgisinin yenilendiği doğrulanana kadar uygulamaları kapalı tutmalarını tavsiye ediyor. Bazı Graph okuma işlemleri denetim kaydı bırakmadığı için erişimin kanıtlanmasını beklemek yerine hemen harekete geçilmesi isteniyor.