ConnectWise hücumdan sonra Microsoft 365 tenantlarində Cloud Backup-i dayandırdı

İncidentə baxış

ConnectWise naməlum hücumçuların onlara icazəsiz giriş əldə etməsindən və Microsoft 365 tenantlarində təhlükəsizliyin pozulmasından sonra yeddi ConnectWise tətbiqin identitetini ləğv etdi. 2026-cı il 17 oktyabr, 07:00 UTC-də atılmış addım ConnectWise Cloud Backup və ConnectWise Cloud Management ilə əlaqəli identitetlərə, o cümlədən MS Teams, Exchange Online, MS Graph, Partner Center və SharePoint Online üçün ayrılmış əlaqələrə təsir edir.

Şirkət Cloud Backup xidmətini dayandırdı və bütün istifadəçilər üçün zərərli tətbiq əlaqələri üçün istifadə olunan sertifikatları etibarsız saydı. Əlaqələrin söndürülməsi onlarla yeni avtorizasiyağa mane olur, lakin tenantdə əvvəl həyata keçirilmiş dəyişiklikləri qaytarmır. Əvvəl verilmiş giriş tokenləri müddəti bitən və ya başqa şəkildə ləğv edilənə qədər yenidən istifadə oluna bilər. Tək identitetlərlə qurulmuş hər hansı icazəsiz avtorizasiya məlumatı, icazə və ya başqa giriş əlavə yoxlama və düzəltmə tələb edir.

Xidmətə təsir və araşdırma

Planlaşdırılmış ehtiyat nüsxələr tamamlanmır, zərərli ehtiyat arxivlərinə giriş və bərpa imkanları hələ də əlçatmazdır. ConnectWise mövcud arxivlərin şifrələnmiş, izolyasiya edilmiş və saxlanıldığını və hücumçuların onlara icazəsiz giriş əldə etmədiyini və ya aşmadığını sübut edir.

Xüsusi ehtiyat məqsədilə şirkət araşdırmanı bitirənə qədər SaaS Security və Cloud Management-i müvəqqəti söndürdü. ConnectWise problemin 2026-cı il 14 oktyabrda kibertəhlükəsizlik monitorinqinin gücləndirilməsi və ehtiyat tədbirləri nəticəsində aşkar edildiyini bildirdi, bu da daxili və xarici incidentin araşdırılması və reaksiya tədbirlərinə səbəb oldu. Şirkət yüngülləşdirici tədbirlərdən sonra monitorinq etdiyi mühitlərdə uğurlu təhlükə aktivliyi qeyd alınmadığını elan etdi, lakin bu, birbaşa nəzərdə tutulmayan aşağı səviyyəli istifadəçi mühitlərinin statusunu təsbit etmir, deyə xəbərdarlıq etdi.

Təhlükə aktivliyi və tövsiyələr

Huntress zərərli girişlər haqqında 144.172.64[.]128 IP ünvanından məlumat verdi, bu ünvanından sonuncu qeyd alınmış giriş 15 oktyabr, 08:45 UTC-də baş verdi, hədəfə yönəlmiş əl ilə aktivlik ise həmin gün təxminən 14:20 UTC-dək davam etdi. Təhlükəsizlik şirkəti yüksək etibarla irəli sürdü ki, hücumçu həm də ConnectWise Cloud Management tətbiqini Exchange Online, Microsoft Teams və SharePoint üçün hədəfləyib və bir tenantdə Teams tətbiqinin sui-istifadəsini təsdiqləyib. Bu tətbiqlər, göründüyü kimi, ConnectWise-i söndürmür, ona görə də onlardan əlavə aktivlik gələ bilər.

Huntress bu IP ünvanından giriş aktivliyi qeyd alınan təxminən 1 000 Entra tenantini aşkar etdi, bunlardan 300-ü uğurlu oldu. 15 oktyabrda hədəfə yönəlmiş cəhdlərin ikinci dalğası siyasət, milli təhlükəsizlik, ticarət və kritiki minerallar sektorlarında 16 uğursuz tenantın dairəsini müəyyən etdi. Tərəfdaşlara öz Microsoft 365 tenantinə və hər nəzarətçi istifadəçi tenantına, o cümlədən işləməyən SkyKick əlaqələri olan mühitlərə baxmağı; göstərilən tətbiqin əlaqələrinin statusunu yoxlamağı; 144.172.64[.]128 IP ünvanından 2026-cı il 13 oktyabrından etibarən girişləri nəzərdən keçirməğı; audit qeydlərini qədər saxlamağı; və icazəli poçt qutusunun yönləndirilməsi, kataloq rolu dəyişiklikləri, icazələrin verilməsi və digər tətbiqlərə əlavə edilmiş müştəri məxfi məlumatları kimi daxil olmaqla avtorizasiya məlumatlarını yoxlamağı tövsiyə olunur.

Mənbələr: The Hacker News