מפתח שנגנב מ-ConnectWise שימש לכניסה ל-173 סביבות Microsoft 365, לפי הדיווח
תוקפים ניצלו פרטי גישה של אפליקציית הגיבוי ConnectWise Cloud Backup, לשעבר SkyKick, כדי להתחבר לסביבות Microsoft 365 של ספקי IT ושל הלקוחות שלהם, בלי סיסמה ובלי אימות דו-שלבי.
TL;DR בקצרה
- פרטי גישה של אפליקציית ConnectWise Cloud Backup שימשו מ-15 באוקטובר להתחברות לסביבות Microsoft 365 של ספקי IT ולקוחותיהם.
- Huntress אישרה התחברויות לא מורשות ב-162 סביבות עד 16 באוקטובר, ודיווח מאוחר יותר מדבר על 173.
- בסביבה אחת אפליקציה של ConnectWise הוסיפה לעצמה הרשאת Global Administrator, ונוספו מפתחות חדשים שתקפים עד 2028.
- ConnectWise השביתה את האפליקציות. ההמלצה: להשבית אותן גם אצלכם, לא למחוק, ולבדוק תפקידים ומפתחות חדשים.
עסקים רבים, גם בישראל, לא מנהלים בעצמם את Microsoft 365 אלא דרך ספק IT חיצוני, שמחבר לסביבה שלהם כלים לגיבוי ולניהול. בימים האחרונים התברר כמה רחוק יכולה להגיע פריצה לכלי אחד כזה. תוקפים השתמשו בפרטי גישה שנגנבו מאפליקציית הגיבוי ConnectWise Cloud Backup, לשעבר SkyKick, כדי להתחבר לסביבות Microsoft 365 של ספקי שירות ושל הלקוחות שלהם. לפי Cyber Security News, מספר הסביבות שאושרו הגיע ל-173. חברת האבטחה Huntress, שחשפה את האירוע, אישרה 162 סביבות נכון לערב 16 באוקטובר.
Microsoft Threat Intelligence הודיעה שהיא עוקבת אחרי מתקפת שרשרת אספקה פעילה, כלומר מתקפה שעוברת דרך ספק תוכנה אמין כדי להגיע ללקוחות שלו. ConnectWise אישרה את האירוע באתר שלה, והזהות של התוקף עדיין לא ידועה.
בלי סיסמה ובלי קוד אימות
כדי לגבות תיבות דואר, קבצים וצ׳אטים, אפליקציית גיבוי מקבלת מראש הרשאות רחבות בסביבת הלקוח: גישה ל-Exchange, ל-OneDrive, ל-SharePoint ול-Teams. היא מתחברת באמצעות פרטי גישה של האפליקציה עצמה, שנשמרים אצל הספק, ולא בעזרת סיסמה של משתמש. לכן ההתחברויות שתועדו לא עברו דרך אימות דו-שלבי ולא נדרשה בהן שום פעולה מצד הלקוח. לפי Huntress, אותם פרטי גישה עובדים בכל סביבה שבה האפליקציה אושרה, ולא רק באלה שזוהו עד כה.
לפי הבלוג של Huntress, ב-15 באוקטובר בין 06:13 ל-08:34 לפי שעון UTC התחברה האפליקציה מכתובת של ספק אחסון וקיבלה אסימוני גישה (tokens) ל-Microsoft Graph, ממשק הנתונים של Microsoft 365. הסביבות נפתחו בזו אחר זו בהפרש של שניות, מה שמרמז על תסריט אוטומטי עם רשימת יעדים מוכנה. בהמשך היום זוהה גל ממוקד נגד 16 סביבות של ארגונים בתחומי מדיניות, ביטחון לאומי, סחר ומינרלים קריטיים. בסך הכול, Huntress מצאה כמעט 1,000 סביבות עם ניסיונות התחברות מאותה כתובת, ויותר מ-300 מהם הצליחו, אם כי בחלק מהסביבות האפליקציה לא הייתה מותקנת ולכן התוקף לא השיג בהן גישה.
הרשאת מנהל ראשי ומפתחות עד 2028
הפרט המדאיג ביותר הגיע מסביבה של לקוח אחד. אפליקציה נוספת של ConnectWise, לניהול Teams, הוסיפה לעצמה את התפקיד Global Administrator, ההרשאה הגבוהה ביותר בסביבת Microsoft 365. מיד אחר כך הוסיף תסריט מפתחות גישה חדשים לשתי אפליקציות אחרות, ביניהן האפליקציה של Huntress עצמה, עם תוקף עד 2028. מפתחות כאלה יכולים לשמש לחזרה לסביבה גם אחרי שהבעיה המקורית נסגרה. Huntress מציינת שעדיין לא קשרה בוודאות בין השלב הזה לבין ההתחברויות מהכתובת החשודה.
ומה נלקח? בסביבה שנבדקה לעומק לא נמצאה גישה למיילים או לקבצים. אבל Huntress מזהירה שקריאת נתונים מהמדריך הארגוני לא משאירה עקבות ביומנים, ולכן אי אפשר לשלול חשיפה. ConnectWise מסרה שארכיוני הגיבוי מוצפנים ומבודדים ושאין סימן שנפגעו, אבל הבהירה שאינה יכולה לקבוע בעצמה אם סביבה מסוימת של לקוח נפגעה. ב-17 באוקטובר השביתה החברה שבע זהויות של אפליקציות וביטלה תעודות, ונכון ל-19 באוקטובר שירותי Cloud Backup, SaaS Security ו-Cloud Management עדיין מושבתים בלי מועד חזרה.
מה זה אומר עבורכם
- שאלו את ספק ה-IT שלכם עוד היום: האם הוא משתמש ב-ConnectWise Cloud Backup או בכלים של SkyKick, והאם בדק את הסביבה שלכם. ConnectWise מבקשת מהספקים לבדוק כל סביבת לקוח שהם מנהלים.
- השביתו, אל תמחקו: ב-Microsoft Entra, בטלו את אפשרות הכניסה של אפליקציות ConnectWise ו-SkyKick. מחיקה מוחקת את ההסכמה ומקשה על השחזור. השבתה עוצרת את הגיבויים, אבל לא מוחקת גיבויים קיימים.
- חפשו תפקידים ומפתחות שלא אתם יצרתם: בדקו אילו אפליקציות קיבלו תפקידי מנהל, ובמיוחד Global Administrator, ואילו מפתחות או תעודות נוספו לאפליקציות מאז 13 באוקטובר.
- בדקו את תיבות הדואר: כללי העברה אוטומטית, כללי תיבת דואר והרשאות גישה לתיבות של אחרים, כפי ש-ConnectWise ממליצה.
- אל תפעילו מחדש מוקדם מדי: המתינו לאישור של ConnectWise שכל המפתחות הוחלפו. בינתיים, שמרו עותק נוסף של מידע קריטי בדרך אחרת.
מה הלאה
החקירה עדיין פתוחה, ו-ConnectWise מעדכנת את עמוד ההודעות שלה ומוסיפה כתובות חשודות. הלקח הרחב נוגע לכל כלי שמחובר ל-Microsoft 365 ברמת אפליקציה: גיבוי, אבטחה, ניהול או AI. כל כלי כזה הוא מפתח נוסף לבית. כדאי לעבור אחת לכמה חודשים על רשימת האפליקציות המחוברות, להסיר את מה שלא בשימוש ולבדוק אילו הרשאות נשארו פתוחות.
מקורות והרחבה
- Hackers used Compromised ConnectWise Backup Credentials to Hack 173 Microsoft 365 AccountsCyber Security News
- ConnectWise (SkyKick) Vendor Credentials Abused in M365 AttacksHuntress
- Cloud Backup (formerly known as SkyKick) Service InterruptionConnectWise
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
