ConnectWise توقف Cloud Backup بعد اختراق مستأجري Microsoft 365

نظرة عامة على الحادث

قامت ConnectWise بتعطيل سبع هويات لتطبيقات ConnectWise بعد أن حصل مهاجمون مجهولون على وصول غير مصرح به إليها وأحدثوا اختراقاً لمستأجري Microsoft 365. هذه الخطوة، التي اتُخذت في 17 أكتوبر 2026، الساعة 07:00 UTC، تؤثر على الهويات المرتبطة بـ ConnectWise Cloud Backup وConnectWise Cloud Management، بما في ذلك الاتصالات المخصصة لـ MS Teams وExchange Online وMS Graph وPartner Center وSharePoint Online.

أوقفت الشركة خدمة Cloud Backup وألغت جميع الشهادات المستخدمة لاتصالات التطبيقات المتأثرة لجميع المستخدمين. يؤدي تعطيل الاتصالات إلى منع التصريح الجديد عبرها، لكنه لا يستعيد التغييرات التي طُبقت مسبقاً في المستأجر. قد تظل رموز الوصول الممنوحة سابقاً صالحة للاستخدام حتى انتهاء صلاحيتها أو إلغائها بطريقة أخرى. أي بيانات تصريح غير مصرح به أو إذن أو وصول آخر تم إنشاؤه عبر الهويات المفردة سيتطلب مراجعة إضافية وتصحيحاً.

التأثير على الخدمة والاسترداد

لن تكتمل النسخ الاحتياطية المجدولة، ولا يزال الوصول إلى الأرشيفات الاحتياطية المتأثرة وإمكانيات الاسترداد غير متاحة. أكدت ConnectWise أن الأرشيفات الحالية مشفرة ومعزولة ومحفوظة وأنه لا يوجد دليل على أن المهاجمين حصلوا على وصول غير مصرح به إليها أو تجاوزوها.

حرصاً على أقصى درجات الحيطة، عطلت الشركة مؤقتاً SaaS Security وCloud Management حتى تكمل المراجعة. اكتشفت ConnectWise المشكلة في 14 أكتوبر 2026 بفضل المراقبة والحذر المعززين للأمن السيبراني، مما أدى إلى تفعيل إجراءات الكشف عن الحوادث الداخلية والخارجية والاستجابة لها. أعلنت الشركة أنه بعد اتخاذ إجراءات التخفيف، لم يتم رصد أي نشاط تهديدي ناجح في بيئاتها التي تراقبها، لكنها حذرت من أن هذا لا يحدد حالة بيئات المستخدمين الأدنى التي لا يمكنها مراقبتها مباشرة.

النشاط التهديدي والتوصيات

أبلغت Huntress عن عمليات دخول خبيثة من عنوان IP 144.172.64[.]128، حيث حدث آخر دخول مسجل من هذا العنوان في 15 أكتوبر، الساعة 08:45 UTC، بينما استمر النشاط اليدوي الموجه حتى حوالي 14:20 UTC في نفس اليوم. أعلنت شركة الأمان أنها تعتقد بدرجة ثقة عالية أن المهاجم استهدف أيضاً تطبيقات ConnectWise Cloud Management الخاصة بـ Exchange Online وMicrosoft Teams وSharePoint، وأكدت إساءة استخدام تطبيق Teams في مستأجر واحد. يبدو أن هذه التطبيقات لم يتم تعطيلها من قبل ConnectWise، لذا قد يصدر عنها نشاط إضافي.

اكتشفت Huntress حوالي 1000 مستأجر Entra حيث تم رصد نشاط دخول من عنوان IP هذا، منها 300 كانت ناجحة. في 15 أكتوبر، حددت الموجة الثانية من المحاولات الموجهة دائرة ضيقة من 16 مستأجراً غير ناجح في قطاعات السياسة والأمن القومي والتجارة والمعادن الحرجة. يوصى الشركاء بمراجعة مستأجر Microsoft 365 الخاص بهم وكل مستأجر للمستخدم المُدار، بما في ذلك البيئات ذات اتصالات SkyKick غير النشطة؛ والتحقق من حالة اتصالات التطبيقات المدرجة؛ ومراجعة عمليات الدخول من عنوان IP 144.172.64[.]128 منذ 13 أكتوبر 2026؛ والاحتفاظ بسجلات التدقيق أثناء التعليق؛ والتحقق من إعادة توجيه البريد غير المصرح به وتغييرات أدوار الدليل ومنح الموافقات وبيانات التصريح المضمنة مثل أسرار العميل المضافة إلى تطبيقات أخرى.

المصادر: The Hacker News