מפתח שנגנב מ-ConnectWise שימש לכניסה ל-173 סביבות Microsoft 365, לפי הדיווח
תוקפים ניצלו פרטי גישה של אפליקציית הגיבוי ConnectWise Cloud Backup, לשעבר SkyKick, כדי להתחבר לסביבות Microsoft 365 של ספקי IT ושל הלקוחות שלהם, בלי סיסמה ובלי אימות דו-שלבי.
TL;DR בקצרה
- פרטי גישה של אפליקציית ConnectWise Cloud Backup שימשו מ-15 באוקטובר להתחברות לסביבות Microsoft 365 של ספקי IT ולקוחותיהם.
- Huntress אישרה התחברויות לא מורשות ב-162 סביבות עד 16 באוקטובר, ודיווח מאוחר יותר מדבר על 173.
- בסביבה אחת אפליקציה של ConnectWise הוסיפה לעצמה הרשאת Global Administrator, ונוספו מפתחות חדשים שתקפים עד 2028.
- ConnectWise השביתה את האפליקציות. ההמלצה: להשבית אותן גם אצלכם, לא למחוק, ולבדוק תפקידים ומפתחות חדשים.
תוקפים השתמשו בפרטי גישה של אפליקציית הגיבוי ConnectWise Cloud Backup, לשעבר SkyKick. את פרטי הגישה האלה גנבו מהאפליקציה. בעזרתם התחברו התוקפים לסביבות Microsoft 365 של ספקי שירות ושל הלקוחות שלהם.
עסקים רבים, גם בישראל, לא מנהלים בעצמם את Microsoft 365. הם עובדים דרך ספק IT חיצוני, שמחבר לסביבה שלהם כלים לגיבוי ולניהול. בימים האחרונים התברר כמה רחוק יכולה להגיע פריצה לכלי אחד כזה.
לפי Cyber Security News, יש אישור ל-173 סביבות. חברת האבטחה Huntress, שחשפה את האירוע, אישרה 162 סביבות נכון לערב 16 באוקטובר.
Microsoft Threat Intelligence הודיעה שהיא עוקבת אחרי מתקפת שרשרת אספקה פעילה. זו מתקפה שמנצלת ספק תוכנות אמין כדי להגיע ללקוחות שלו. ConnectWise אישרה את האירוע באתר שלה, והזהות של התוקף עדיין לא ידועה.
בלי סיסמה ובלי קוד אימות: פרטי הגישה של ConnectWise
כדי לגבות תיבות דואר, קבצים וצ׳אטים, אפליקציית גיבוי מקבלת מראש הרשאות רחבות בסביבת הלקוח. ההרשאות כוללות גישה ל-Exchange, ל-OneDrive, ל-SharePoint ול-Teams. האפליקציה מתחברת באמצעות פרטי גישה של האפליקציה עצמה, ששמורים אצל הספק. היא לא משתמשת בסיסמה של משתמש.
לכן ההתחברויות שהחוקרים תיעדו לא כללו אימות דו-שלבי. הן גם לא דרשו שום פעולה מצד הלקוח. לפי Huntress, אותם פרטי גישה עובדים בכל סביבה שבה אישרו את האפליקציה, ולא רק באלה שהחוקרים זיהו עד כה.
לפי הבלוג של Huntress, האפליקציה התחברה מכתובת של ספק אחסון. זה קרה ב-15 באוקטובר בין 06:13 ל-08:34 לפי שעון UTC. היא קיבלה אסימוני גישה (tokens) ל-Microsoft Graph, ממשק הנתונים של Microsoft 365.
התוקפים פתחו את הסביבות בזו אחר זו בהפרש של שניות. זה מרמז על תסריט אוטומטי עם רשימת יעדים מוכנה. בהמשך היום Huntress זיהתה גל ממוקד נגד 16 סביבות. הן שייכות לארגונים בתחומי מדיניות, ביטחון לאומי, סחר ומינרלים קריטיים.
בסך הכול, Huntress מצאה כמעט 1,000 סביבות עם ניסיונות התחברות מאותה כתובת. מעל 300 מהם הצליחו, אם כי בחלק מהסביבות האפליקציה לא הייתה מותקנת. לכן התוקף לא השיג בהן גישה.
הרשאת מנהל ראשי ומפתחות עד 2028 באפליקציה של ConnectWise
הפרט המדאיג ביותר הגיע מסביבה של לקוח אחד. אפליקציה נוספת של ConnectWise, לניהול Teams, הוסיפה לעצמה את התפקיד Global Administrator. זו ההרשאה הגבוהה ביותר בסביבת Microsoft 365.
מיד אחר כך הוסיף תסריט מפתחות גישה חדשים לשתי אפליקציות אחרות, ביניהן האפליקציה של Huntress עצמה. תוקף המפתחות הוא עד 2028. מפתחות כאלה יכולים לשמש לחזרה לסביבה גם אחרי שסוגרים את הבעיה המקורית. Huntress מציינת שעדיין לא קשרה בוודאות בין השלב הזה לבין ההתחברויות מהכתובת החשודה.
ומה התוקפים לקחו? בסביבה שהחוקרים בדקו לעומק הם לא מצאו גישה למיילים או לקבצים. אבל Huntress מזהירה שקריאת נתונים מהמדריך הארגוני לא משאירה עקבות ביומנים. לכן אי אפשר לשלול חשיפה.
ConnectWise מסרה שארכיוני הגיבוי מוצפנים ומבודדים, ושאין סימן שנפגעו. עם זאת, היא הבהירה שהיא לא יכולה לקבוע בעצמה אם סביבה מסוימת של לקוח נפגעה. ב-17 באוקטובר השביתה החברה שבע זהויות של אפליקציות וביטלה תעודות. נכון ל-19 באוקטובר שירותי Cloud Backup, SaaS Security ו-Cloud Management עדיין כבויים בלי מועד חזרה.
מה זה אומר עבורכם
- שאלו את ספק ה-IT שלכם עוד היום: שאלו אם הוא משתמש ב-ConnectWise Cloud Backup או בכלים של SkyKick. שאלו גם אם הוא בדק את הסביבה שלכם. ConnectWise מבקשת מהספקים לבדוק כל סביבת לקוח שהם מנהלים.
- השביתו, אל תמחקו: ב-Microsoft Entra, בטלו את אפשרות הכניסה של אפליקציות ConnectWise ו-SkyKick. מחיקה מוחקת את ההסכמה ומקשה על השחזור. השבתה עוצרת את הגיבויים, אבל לא מוחקת גיבויים קיימים.
- חפשו תפקידים ומפתחות שלא אתם יצרתם: בדקו אילו אפליקציות קיבלו תפקידי מנהל, ובמיוחד Global Administrator. בדקו גם אילו מפתחות או תעודות מישהו הוסיף לאפליקציות מאז 13 באוקטובר.
- בדקו את תיבות הדואר: כללי העברה אוטומטית, כללי תיבת דואר והרשאות גישה לתיבות של אחרים, כפי ש-ConnectWise ממליצה.
- אל תמהרו להפעיל מחדש: המתינו לאישור של ConnectWise שהחליפה את כל המפתחות. בינתיים, שמרו עותק נוסף של מידע קריטי בדרך אחרת.
מה הלאה
החקירה עדיין פתוחה. ConnectWise מעדכנת את עמוד ההודעות שלה ומוסיפה כתובות חשודות.
הלקח הרחב חל על כל כלי שמחובר ל-Microsoft 365 ברמת אפליקציה: גיבוי, אבטחה, ניהול או AI. כל כלי כזה הוא מפתח נוסף לבית. כדאי לעבור אחת לכמה חודשים על רשימת האפליקציות המחוברות. כדאי להסיר את מה שלא בשימוש ולבדוק אילו הרשאות נשארו פתוחות.
מקורות והרחבה
- Hackers used Compromised ConnectWise Backup Credentials to Hack 173 Microsoft 365 AccountsCyber Security News
- ConnectWise (SkyKick) Vendor Credentials Abused in M365 AttacksHuntress
- Cloud Backup (formerly known as SkyKick) Service InterruptionConnectWise
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
