ConnectWise-მ Cloud Backup შეაჩერა Microsoft 365-ის ტენანტებზე თავდამსხმელების შეჭრის შემდეგ

ინციდენტის მიმოხილვა

ConnectWise-მ გამორთო შვიდი ConnectWise-ის აპლიკაციის იდენტობა მას შემდეგ, რაც უცნობმა თავდამსხმელებმა მათზე არასანქცირებული წვდომა მოიპოვეს და Microsoft 365-ის ტენანტებზე კომპრომისი მოახდინეს. ნაბიჯი, რომელიც 2026 წლის 17 ოქტომბერს, 07:00 UTC-ზე გადაიდგა, ეხება ConnectWise Cloud Backup-თან და ConnectWise Cloud Management-თან დაკავშირებულ იდენტობებს, მათ შორის MS Teams-ის, Exchange Online-ის, MS Graph-ის, Partner Center-ისა და SharePoint Online-ის გამოყოფილ კავშირებს.

კომპანიამ შეაჩერა Cloud Backup სერვისი, გააუქმა რა ყველა მომხმარებლისთვის დაზარალებული აპლიკაციის კავშირებისთვის გამოყენებული სერტიფიკატები. კავშირების გამორთვა ხელს უშლის მათში ახალი ავტორიზაციის გავლას, მაგრამ არ აბრუნებს ტენანტში ადრე შესრულებულ ცვლილებებს. ადრე გაცემული წვდომის ტოკენები შეიძლება კვლავ გამოსადეგი იყოს, სანამ ვადა გაუვა ან სხვაგვარად არ გაუქმდება. ნებისმიერი არასანქცირებული ავტორიზაციის მონაცემი, ნებართვა ან სხვა წვდომა, რომელიც ცალკეული იდენტობებით დამყარდა, დამატებით განხილვას და გამოსწორებას მოითხოვს.

სერვისზე გავლენა და გამოძიება

დაგეგმილი სარეზერვო ასლები არ სრულდება, დაზარალებულ სარეზერვო არქივებზე წვდომა და აღდგენის შესაძლებლობები კვლავ მიუწვდომელია. ConnectWise-მ ხაზი გაუსვა, რომ არსებული არქივები დაშიფრული, იზოლირებული და შენახული რჩება და რომ მტკიცებულება არ არსებობს, თითქოს თავდამსხმელებმა მათზე უნებართვო წვდომა მოიპოვეს ან მათში შეაღწიეს.

განსაკუთრებული სიფრთხილის მიზნით, კომპანიამ დროებით გამორთო SaaS Security და Cloud Management, სანამ განხილვას დაასრულებს. ConnectWise-მ პრობლემა 2026 წლის 14 ოქტომბერს გამოავლინა კიბერუსაფრთხოების გაძლიერებული მონიტორინგისა და სიფრთხილის წყალობით, რამაც შიდა და გარე ინციდენტის გამოძიებისა და რეაგირების ქმედებების გააქტიურება გამოიწვია. კომპანიამ განაცხადა, რომ შემამსუბუქებელი ზომების შემდეგ მის მიერ მონიტორინგირებულ გარემოებში წარმატებული საფრთხის აქტივობა არ დაუფიქსირებია, თუმცა გააფრთხილა, რომ ეს არ ადგენს ქვემო დონის მომხმარებლების გარემოების სტატუსს, რომლებსაც პირდაპირ ვერ აკვირდება.

საფრთხის აქტივობა და რეკომენდაციები

Huntress-მა შეატყობინა მავნე შესვლების შესახებ IP მისამართიდან 144.172.64[.]128, ამ მისამართიდან ბოლო დაფიქსირებული შესვლა 15 ოქტომბერს, 08:45 UTC-ზე მოხდა, ხოლო მიზანმიმართული, ხელით აქტივობა იმავე დღეს დაახლოებით 14:20 UTC-მდე გაგრძელდა. უსაფრთხოების კომპანიამ განაცხადა, რომ მაღალი ნდობით მიიჩნევს, თავდამსხმელი ასევე მიზნად ისახავდა ConnectWise Cloud Management-ის აპლიკაციებს Exchange Online-ისთვის, Microsoft Teams-ისთვის და SharePoint-ისთვის და დაადასტურა Teams-ის აპლიკაციის ბოროტად გამოყენება ერთ ტენანტში. ეს აპლიკაციები, როგორც ჩანს, ConnectWise-ს არ გამოურთავს, ამიტომ მათგან დამატებითი აქტივობა შეიძლება მოვიდეს.

Huntress-მა გამოავლინა დაახლოებით 1 000 Entra-ს ტენანტი, სადაც ამ IP მისამართიდან შესვლის აქტივობა დაფიქსირდა, აქედან 300 წარმატებული იყო. 15 ოქტომბერს მიზანმიმართული მცდელობების მეორე ტალღამ გამოყო 16 წარუმატებელი ტენანტის ვიწრო წრე პოლიტიკის, ეროვნული უსაფრთხოების, ვაჭრობისა და კრიტიკული მინერალების სექტორებში. პარტნიორებს ურჩევენ, გადახედონ საკუთარ Microsoft 365-ის ტენანტს და თითოეულ მართულ მომხმარებლის ტენანტს, მათ შორის უმოქმედო SkyKick კავშირების მქონე გარემოებს; შეამოწმონ ჩამოთვლილი აპლიკაციის კავშირების სტატუსი; გადახედონ 2026 წლის 13 ოქტომბრიდან შესვლებს IP მისამართიდან 144.172.64[.]128; შეინახონ აუდიტის ჩანაწერები შეკავებამდე; და შეამოწმონ უნებართვო საფოსტო ყუთის გადამისამართება, დირექტორიის როლის ცვლილებები, თანხმობის მინიჭებები და ჩანერგილი ავტორიზაციის მონაცემები, როგორიცაა სხვა აპლიკაციებში დამატებული კლიენტის საიდუმლოებები.

წყაროები: The Hacker News