ConnectWise obnavlja pristupne podatke posle incidenta u Cloud Backup
ConnectWise je posle bezbednosnog incidenta resetovao naloge i zamenio aplikacione akreditive povezane sa uslugom Cloud Backup, dok ta usluga ostaje suspendovana. Kompanija je 17. oktobra u 5.00 UTC počela da uvodi mere ograničavanja incidenta, tri dana pošto ga je identifikovala, a preventivno je obustavila i SaaS Security i Cloud Management zbog njihove integracije sa Cloud Backup.
Mere ograničavanja i provera okruženja
Incident se odnosi na neovlašćeni pristup identitetima aplikacija povezanim sa Cloud Backup. ConnectWise je deaktivirao pogođene veze aplikacija, pojačao zaštitu administrativnog pristupa i angažovao nezavisne stručnjake za odgovor na incident i sanaciju.
Kompanija proverava delotvornost mera ograničavanja i navodi da u okruženjima koja nadzire nije uočila uspešnu aktivnost pretnje. Istovremeno naglašava da to ne utvrđuje da li su pojedinačni Microsoft 365 tenant prostori partnera ili korisnika bili pogođeni, zbog čega svaki potencijalno zahvaćen tenant zahteva zasebnu proveru.
ConnectWise je objavio tehničke smernice za partnere koji istražuju moguću neovlašćenu aktivnost u sopstvenim okruženjima i kod klijenata kojima upravljaju. Pre bilo kakvih izmena preporučuje čuvanje relevantnih dokaza, proveru nalaza i procenu operativnih posledica. Završetak tih koraka, kako navodi kompanija, ne garantuje da tenant nije pogođen niti da je uklonjen sav neovlašćeni pristup.
Nalazi Huntressa o prijavama aplikacija
Huntress je prijavio da je u evidencijama prijava aplikacija u više od 10.000 tenant okruženja sa ConnectWise aplikacijama adresa 144.172.64.128, uz Microsoftove interne opsege, bila jedina koja je proizvela aktivnost prijave aplikacije. Ta adresa je povezana sa prijavama korišćenjem akreditiva dobavljača i označena je kao glavni vektor.
Druge navedene adrese iz istog provajderskog opsega AS14956, RouterHosting, nisu pokazale prijave aplikacija u pregledanim zapisima. Huntress je sa nekih od njih ipak zabeležio pokušaje password spraying napada i neuspele prijave korisnika, uključujući koncentrisane pokušaje od 10. do 14. oktobra i šire, kontinuirane pokušaje prema većem broju organizacija.
Obrazac postkompromitacionih radnji
Istraživači su u drugom tenantu videli radnje posle kompromitovanja po istom obrascu: aplikacija je sebi dodelila ulogu Global Administrator, a zatim dodala novu tajnu manjem broju drugih aplikacija radi postojanosti pristupa. Pristup je možda korišćen za čitanje direktorijuma preko Microsoft Graph-a, ali nisu uočeni znaci manipulacije poštanskim sandučićima ili datotekama, niti izmene korisnika i politika.
U dva pregledana kompromitovana tenanta birani su različiti skupovi aplikacija, bez vidljivog oslanjanja na njihove konkretne mogućnosti. Zajedničko im je bilo to što su akreditivi postavljani u aplikacije registrovane unutar pogođenog tenanta. Za poslovne timove praktičan zaključak je da ne povezuju pogođene aplikacije dok ConnectWise ne objavi formalna uputstva za obnovu, te da očuvaju dokaze i sistematski provere svaki potencijalno zahvaćen Microsoft 365 tenant.