ConnectWise עצר Cloud Backup בטננטים של Microsoft 365 לאחר חדירת תוקפים

סקירת התקרית

ConnectWise ניתק זהויות שבעת יישומי ConnectWise לאחר שתוקפים לא מזוהים השיגו גישה לא מאושרת אליהם ופגעו בטננטים של Microsoft 365. הצעד, שהתבצע ב-17 באוקטובר 2026, בשעה 07:00 UTC, נוגע בזהויות הקשורות ל-ConnectWise Cloud Backup ול-ConnectWise Cloud Management, כולל חיבורים שהוקצו עבור MS Teams, Exchange Online, MS Graph, Partner Center ו-SharePoint Online.

החברה השהתה את שירות Cloud Backup וביטלה את כל האישורים ששימשו את החיבורים של היישום הפגוע עבור כל המשתמשים. ניתוק החיבורים מונע הרשאות חדשות באמצעותם, אך אינו מבטל שינויים שבוצעו בטננט קודם לכן. טוקני גישה שהונפקו קודם לכן עשויים עדיין להיות תקפים עד שתם התוקף או עד שיבוטלו בדרך אחרת. כל נתון הרשאה לא מאושרת, הרשה או גישה אחרת שנבנתה על זהויות בודדות מחייבים בדיקה נוספת ותיקון.

השפעה על השירות וטיפול

העתקי גיבוי מתוכננים אינם מושלמים, והגישה לארכיבי הגיבוי הפגועים ולאפשרויות השחזור עדיין חסרה. ConnectWise הבהירה שהארכיבים הקיימים מוצפנים, מבודדים ומאוחסנים, ושאין ראיות שהתוקפים השיגו גישה לא מורשית אליהם או עקפו אותם.

מתוך זהירות נוספת, החברה כיתבה זמנית את SaaS Security ואת Cloud Management עד לסיום הבדיקה. ConnectWise זיהתה את הבעיה ב-14 באוקטובר 2026 בזכות ניטור מוגבר של אבטחת סייבר וזהירות, מה שהוביל להפעלת פעולות חקירה ותגובה לתרחישים פנימיים וחיצוניים. החברה הצהירה שאחרי אמצעי הקלה לא נרשמה פעילות איום מוצלחת בסביבות המנוטרות, אך הזהירה שזה אינו קובע את המצב של סביבות לקוחות במורד הזרם, אותן היא אינה מנטרת ישירות.

פעילות איום והמלצות

Huntress דיווחה על התחברויות זדוניות מכתובת IP 144.172.64[.]128; ההתחברות האחרונה שנרשמה מכתובת זו התרחשה ב-15 באוקטובר בשעה 08:45 UTC, ובעוד פעילות ידנית ממוקדת נמשכה באותו יום עד כ-14:20 UTC. חברת האבטחה הצהירה שיש לה ביטחון גבוה שהתוקף יגם יישומי ConnectWise Cloud Management עבור Exchange Online, Microsoft Teams ו-SharePoint, ואישרה שימוש זדוני ביישום Teams בטננט אחד. יישומים אלה, ככל הנראה, לא נותקו מ-ConnectWise, ולכן מהם עשויה להגיע פעילות נוספת.

Huntress זיהתה כ-1,000 טננטים של Entra שבהם נרשמה פעילות התחברות מכתובת IP זו, מתוכם 300 הצליחו. ב-15 באוקטובר גל שני של ניסיונות ממוקדים הבחין במעגל צר של 16 טננטים לא מוצלחים במגזרים הפוליטי, ביטחון לאומי, מסחר ומינרלים קריטיים. לשותפים מומלץ לסקור את טננט Microsoft 365 שלהם וכל טננט המנוהל, כולל סביבות עם חיבורי SkyKick לא פעילים; לבדוק את סטטוס חיבורי היישומים המפורטים; לעבור על ההתחברויות מ-13 באוקטובר מכתובת IP 144.172.64[.]128; לשמור רשומות ביקורת עד לסיום תהליך הלכידה; ולבדוק העברות תיבת דואר עם הרשאות, שינויי תפקידים במדריך, הענקות הסכמה ונתוני הרשאה מוטמעים, כגון סודות לקוח שנוספו ביישומים אחרים.

מקורות: The Hacker News