ConnectWise, Saldırganların Microsoft 365 Kiracılarına Saldırısının Ardından Cloud Backup'i Durdurdu

Olayın Özeti

ConnectWise, bilinmeyen saldırganların bunlara yetkisiz erişim elde edip Microsoft 365 kiracılarını teslim aldıktan sonra yedi ConnectWise uygulama kimliğini devre dışı bıraktı. 17 Ekim 2026'da 07:00 UTC'de atılan adım, ConnectWise Cloud Backup ve ConnectWise Cloud Management ile ilişkili kimlikleri etkiliyor; bu kimlikler arasında MS Teams, Exchange Online, MS Graph, Partner Center ve SharePoint Online için ayrılmış bağlantılar bulunuyor.

Şirket, Cloud Backup hizmetini durdurdu ve etkilenen tüm uygulamaların kullanıcı bağlantıları için kullanılan sertifikaları iptal etti. Bağlantıların devre dışı bırakılması bu bağlantılarla yeni yetkilendirmeyi engeller, ancak kiracıda daha önce gerçekleştirilen değişiklikleri geri almaz. Daha önce verilen erişim belirteçleri süresi dolana veya başka şekilde iptal edilmeden kullanılabilir olabilir. Ayrı kimlikler aracılığıyla kurulmuş yetkisiz yetkilendirme kayıtları, izinler veya diğer erişimler ek inceleme ve düzeltme gerektirir.

Hizmete Etki ve Tespit

Planlı yedek kopyaları tamamlanmıyor, etkilenen yedek arşivlerine erişim ve kurtarma olanakları hâlâ kullanılamıyor. ConnectWise, mevcut arşivlerin şifreli, izole edilmiş ve saklandığını ve saldırganların bunlara izinsiz erişim elde ettiğine dair herhangi bir kanıt bulunmadığını belirtti.

Özenle, şirket inceleme tamamlanana kadar SaaS Security ve Cloud Management üzerinde geçici olarak devre dışı bıraktı. ConnectWise, 14 Ekim 2026'da siber güvenlik için geliştirilmiş izleme ve önlemler sayesinde sorunu tespit etti; bu durum iç ve dış olay tespit ve müdahale faaliyetlerinin devreye sokulmasına yol açtı. Şirket, azaltıcı önlemlerin ardından izlediği ortamlarda başarılı bir tehdit aktivitesi tespit edilmediğini, ancak bu durumun alt düzey kullanıcıların ortamlarının durumunu belirtmediğini ve doğrudan görülemediğini açıkladı.

Tehdit Aktivitesi ve Öneriler

Huntress, IP adresi 144.172.64[.]128'den yapılan kötü amaçlı girişler hakkında bilgi verdi; bu adresten son kaydedilen giriş 15 Ekim'de 08:45 UTC'de gerçekleşti, hedefli ve manuel aktivite ise aynı gün yaklaşık 14:20 UTC'ye kadar sürdü. Güvenlik şirketi, saldırganın yüksek bir güvenle ConnectWise Cloud Management uygulamalarını Exchange Online, Microsoft Teams ve SharePoint için hedef aldığını ve bir kiracıda Teams uygulamasının kötüye kullanımını doğruladığını bildirdi. Bu uygulamalar görünüşe göre ConnectWise tarafından devre dışı bırakılmamış, bu yüzden onlardan gelen ek aktivite mümkün olabilir.

Huntress, bu IP adresinden giriş aktivitesinin yaklaşık 1.000 Entra kiracısında tespit edildiğini, bunlardan 300'ünün başarılı olduğunu belirledi. 15 Ekim'deki hedefli girişimlerin ikinci dalgası, politika, ulusal güvenlik, ticaret ve kritik mineraller sektörlerinde 16 başarısız kiracının küçük bir çevresini ortaya çıkardı. İş ortaklarına kendi Microsoft 365 kiracılarını ve her yönetilen kullanıcının kiracısını, etkisiz SkyKick bağlantılarına sahip ortamlar da dahil olmak üzere gözden geçirmeleri; listelenen uygulama bağlantılarının durumunu kontrol etmeleri; 13 Ekim 2026'dan itibaren 144.172.64[.]128 IP adresinden yapılan girişleri incelemeleri; denetim kayıtlarını kapatılış kadar saklamaları; ve izinli posta kutusu yeniden yönlendirmeleri, dizin rolü değişiklikleri, onay atamaları ve diğer uygulamalara eklenmiş istemci sırları gibi yerleşik yetkilendirme kayıtlarını kontrol etmeleri önerilir.

Kaynaklar: The Hacker News