Preko ConnectWise aplikacije ušli u najmanje 162 Microsoft 365 okruženja
Aplikacija koja firmama čuva rezervne kopije Microsoft 365 podataka postala je ulazni vektor sajber napada. ConnectWise Cloud Backup, ranije SkyKick, uglavnom koriste firme za IT održavanje da čuvaju poštu, dokumente i Teams prepisku svojih klijenata. Da bi to mogla da radi, aplikacija najčešće ima široka ovlašćenja i posao obavlja samostalno, sa sopstvenim tajnama i bez upliva korisnika u redovne aktivnosti. Napadač je, još se ne zna kako, došao do tih tajni i od 13. oktobra se prijavljivao u M365 okruženja kao ConnectWise aplikacija. Pošto u procesu nije bilo koraka prijave korisnika, dvofaktorska zaštita nije imala nikakvu ulogu. Huntress je potvrdio upad u najmanje 162 okruženja, a prijave sa napadačeve adrese kasnije je video u skoro hiljadu. Posebna serija pokušaja ciljala je 16 organizacija iz oblasti politike, nacionalne bezbednosti, trgovine i kritičnih minerala, ali bez uspeha. U nekim okruženjima ConnectWise aplikacije su same sebi dodelile administratorske uloge, a dvema drugim aplikacijama dodate su lozinke koje važe do 2028. ConnectWise je ugasio svoj servis i kaže da arhive aplikacije nisu kompromitovane. Do daljeg se, međutim, rezervne kopije ne prave i ne mogu da se vrate. Napadač nije imenovan, a krađa podataka za sada nije potvrđena.
Rezervna kopija je poslednja linija odbrane, pa aplikacija koja je pravi dobija pristup svemu: pošti, dokumentima i prepisci, i to već otključanim, onako kako ih vidi i korisnik. Alat koji čita sve sandučiće i dokumente da bi ih sačuvao može to da radi u ime bilo koga, pa i napadača. U ovom slučaju se nije provaljivala lozinka niti zaobilazila dvofaktorska prijava: napadač se predstavio kao aplikacija, a od aplikacije se drugi faktor nije tražio. Kao da je neko ukrao ključeve iz servisa za čišćenje koji ima pristup stotinama kompanija i njihovim kancelarijama. Ulazi bez problema, otvara sve prostorije, alarm ne reaguje. Žrtve napada su sada pogođene dvostruko: neko je možda čitao njihovu poštu, a rezervnu kopiju ne mogu da vrate, jer je sam servis ugašen, a kad će ponovo proraditi, ne zna se. Male firme kod nas održavanje Microsoft 365 najčešće prepuštaju spoljnim saradnicima i nemaju pojma koje aplikacije imaju pristup njihovim podacima. Još češće za ovakve havarije čuju iz vesti, pa tek onda reaguju, a neke možda i ne.
- Ako koristiš ConnectWise Cloud Backup ili Cloud Management, isključi te aplikacije u Entra ID-ju, ali ih ne briši, da bi ostali tragovi — postojeći tokeni važe do isteka, a gašenje korisničkih sesija ne prekida pristup aplikacije
- Pregledaj prijave servisnih identiteta u Entra ID-ju, posebno za aplikaciju 506e08f9-6e9a-4da4-942b-a099a03644ae, i traži neočekivane adrese, među njima 144.172.64[.]128
- Proveri da li je od 13. oktobra bilo kojoj aplikaciji dodata nova tajna ili sertifikat, posebno sa rokom do 2028, nova uloga ili OAuth saglasnost, i ukloni sve što ne prepoznaješ
- Dok servis ne proradi, napravi privremenu rezervnu kopiju najvažnije pošte i dokumenata drugim putem
- Zatraži od svog IT održavaoca spisak svih aplikacija koje imaju pristup vašem Microsoft 365 okruženju i kolika su im ovlašćenja