ConnectWise-ի Cloud Backup-ն կանգնեցրեց Microsoft 365-ի տենանտները հարձակումից հետո

Ինցիդենտի համառոտ նկարագրություն

ConnectWise-ը անջատեց յոթ ConnectWise-ի հավելվածների նույնականությունները այնուհետև, երբ անհայտ հարձակումները ստացան անօրինակի մուտք Microsoft 365-ի տենանտների վրա և կոմպրամետացրին դրանք։ Այս պատ Arena, որը տեղի ունեցավ 2026 թվականի հոկտեմբերի 17-ին, 07:00 UTC-ին, կանգնեցնում է կապերի մեջ ConnectWise Cloud Backup-ի և ConnectWise Cloud Management-ի հետ կապված զןննությունների հետ, ներառյալ MS Teams-ի, Exchange Online-ի, MS Graph-ի, Partner Center-ի և SharePoint Online-ի հատորված կապերը։

Կազմակերպությունը կանգնեցրեց Cloud Backup ծառայությունը և չեքավ բոլոր օգտագործողների համար վնասված հավելվածների կապերի համար օգտագործվող սերտիֆիկատները։ Կապերի անջատումը արգելում է նոր ավտորիզացումները դրանցով, բայց չի վերադարձնում տենանտում առաջնական կատարած փոփոխությունները։ Նախորդ տրված մուտքի տոկենները կարող են դեռևս վավեր լինել մինչև դրանց ժամկետը կամ այլ կերպ إلغاء చేయwege։ Բոլոր անօրինակի ավտորիզաց տալ տվյալները, թույլտվությունները կամ այլ մուտքերը, որոնք կապված էին առանձին ինքնատվությունների հետ, պահանջում են լրացուցիչ վերահսկում և ուղղում։

Ծառայության ազդեցությունը և ստուգումը

Պլանավորված արխիվային պատճենները չեն ավարտվում, վնասված արխիվային պատճենների վրա մուտքները և վերականգնման հնարավորությունները շարունակում են ապոն ուoju։ ConnectWise-ն հայտարարեց, որ mövկյան արխիվները կոդավորված, մեկարկված և সংածված են, և ապացույց չկա, որ հարձակումները ստացել են անօրինակի մուտք դրանց վրա կամ հաջողվել են։

Ավելին մեծ զգուշության համար կազմակերպությունը ժամանակավորապես անջատեց SaaS Security-ն և Cloud Management-ն, մինչեռ վերախոսումները ավարտված չեն։ ConnectWise-ը հայտնաբերեց խնդիրը 2026 թվականի հոկտեմբերի 14-ին՝ շնորհիվ ուժեղացված կիբերանվտանգության հսկողության և սպառնալիքների տեղեկատվության ընդլայնման, ինչը գործարկեց ներքին և արտաքին ինցիդենտների հայտնագրման և արձագանքի քայլերը։ Կազմակերպությունը տեղեկացրեց, որ կանխարգելման միջոցների հետո(supervised environments) հաջող սպառնալիքի վժիկ չկան, սակայն nawet այս դեպքում ես վերջանում չէք ապացուցում ներքևի մակարդակի օգտագործողների միջավայրերի կարգավիճակը, որոնք ուղիղ չեն դիտարկվում։

Ավտանգների ակտիվությունը և հուշումները

Huntress-ը ֆիքսեց վնասակար մուտքերը IP 144.172.64[.]128 მისամართից, վերջին դրանց գրավումը տեղի ունեցավ 2026 թվականի հոկտեմբերի 15-ին, 08:45 UTC-ին, իսկ նպատակային ձեռքի գործունեությունը նույն օրը շարունակվեց մոտ 14:20 UTC-ի սահմաններում։ Անվտանգության ընկերությունը հայտարարեց, որ բարձր վստահությամբ ենթադրում է, որ հարձակումն նաև նպատակավորել է ConnectWise Cloud Management-ի հավելվածները Exchange Online-ի, Microsoft Teams-ի և SharePoint-ի համար, և հաստատեց Teams հավելվածի վնասակար օգտագործումը մեկ տեանտում։ Այս հավելվածները, թվարկյալ, ConnectWise-ի կողմից չẫnυλավորված են, դրա համար ավելի ավելին վնասակար գործողություններ կարող են առաջանալ։

Huntress-ը այն մի քանիafe ժամ? Huntress-ը հայտնաբերեց մոտավորապես 1 000 Entra տենանտներ, որտեղ այս IP მისამართից մուտքի գործունեություն է ֆիքսվել, դրանցից 300-ը հաջողվել է։ 2026 թվականի հոկտեմբերի 15-ին նպատակային փորձերի երկրորդ ալիքը fût 16 չբարձրացված տեանտները հարթակային πολιτիկայի, ազգային անվտանգության, պաշտպանության և կարևոր հ نجد? սեկտորներում։ Պարտներդերինق է խորհուրդ տրվում դիտարկել իրենց Microsoft 365 տեանտը և յուրաքանչյուր կառավ ary տեանտը, վ他问道? deles, ներառյալ ոչ aktiv SkyKick կապերով միջավայրերը; ստուգել նշված հավելվածների կապերի կարգավիճակը; վերահսկել 2026 թվականի հոկտեմբերի 13-ից սկսած մուտքերը IP 144.172.64[.]128 მისամართից; պահպանել ագտի-ի տönframes բեռնելու ժամանակմicien? audit log-երըoading? մինչև ինտեգրման պահը; և ստուգել անօրինակի փոստարկու Armenia? mailbox forwarding, дирекտորի רолі muutmisi, համաձայնությունների օգնման և 빼앗ված ավտորիզաց տալ տվյալները, ինչպիսիք են այլ հավելվածներում ավելացված ügyfélի գաղտնիքները։

Ծանոթագրություններ: The Hacker News