ConnectWise obustavio Cloud Backup posle kompromitovanja Microsoft 365 zakupaca

ConnectWise je 17. oktobra 2026. u 07:00 UTC onemogućio sedam aplikacionih identiteta i obustavio uslugu Cloud Backup nakon što su nepoznati akteri dobili neovlašćen pristup tim identitetima i kompromitovali Microsoft 365 zakupe. Među isključenim vezama nalaze se ConnectWise Cloud Backup i komponente Cloud Management za Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center i SharePoint Online.

Kompanija je problem otkrila 14. oktobra kroz napredno bezbednosno nadgledanje i pokrenula internu i eksternu istragu. Privremeno su van mreže i SaaS Security i Cloud Management. ConnectWise navodi da od primene mera u nadgledanim okruženjima nije video uspešnu aktivnost pretnje, ali ne može neposredno da posmatra stanje u krajnjim okruženjima korisnika.

Zašto aplikacioni identitet predstavlja veliki rizik

Opoziv sertifikata sprečava novu autentifikaciju preko pogođenih veza, ali ne poništava izmene koje su već načinjene unutar zakupa. Ranije izdati pristupni tokeni mogu ostati važeći do isteka ili poništavanja, a neovlašćene dozvole, akreditive i druge pristupe uspostavljene preko odvojenih identiteta potrebno je posebno pregledati i ukloniti.

Napadač koji se prijavi kao aplikacija može od Microsoft Entra ID da zatraži tokene u okviru postojećih dozvola te aplikacije. U zavisnosti od dodeljenih prava, to može otvoriti pristup sandučićima, dokumentima u SharePointu, porukama u Teamsu i informacijama iz direktorijuma, bez krađe pojedinačnih korisničkih lozinki.

Izvor navodi i mogućnost širenja pristupa: dodavanje aplikacije u ulogu Global Administrator, postavljanje klijentskih tajni na druge pouzdane aplikacije ili kreiranje novih aplikacija sa dozvolama. Tako postavljena tajna može napadaču omogućiti ponovnu autentifikaciju i nakon opoziva prvobitnog kompromitovanog akreditiva.

Uticaj na rezervne kopije i istragu

Zakazane rezervne kopije trenutno ne rade, a pristup pogođenim arhivama i mogućnosti oporavka nisu dostupni. ConnectWise istovremeno navodi da postojeće arhive ostaju šifrovane, izolovane i očuvane i da nema dokaza da su napadači njima pristupili ili ih kompromitovali. Mehanizam izlaganja akreditiva i eventualna uloga ranjivosti proizvoda još se analiziraju.

Huntress je poslednje zlonamerne prijave sa prvobitne adrese video 15. oktobra do 08:45 UTC, uz ciljanu ručnu aktivnost do približno 14:20 UTC. Organizacija je potvrdila zloupotrebu Teams aplikacije u jednom zakupu i ocenila sa velikom pouzdanošću da su meta bile i aplikacije za Exchange Online i SharePoint Online.

Huntress je takođe uočio drugi, neuspešan talas pokušaja sa adrese 144.172.64[.]128, usmeren na 16 zakupaca iz oblasti javnih politika, nacionalne bezbednosti, trgovine i kritičnih minerala. Skoro 1.000 Entra zakupaca imalo je aktivnost prijave sa te adrese, a približno 300 prijava je uspelo; u pojedinim zakupima odsustvo servisnog principala sprečilo je dalji pristup.

Šta treba proveriti u Microsoft 365 okruženju

Partneri treba da pregledaju sopstveni Microsoft 365 zakup i svaki zakup kojim upravljaju, uključujući neaktivne SkyKick veze. Pre koraka zadržavanja važno je sačuvati dostupne zapise o prijavama i reviziji, a zatim proveriti prijave od 13. oktobra nadalje, naročito one povezane sa navedenom IP adresom.

• Proveriti status pogođenih aplikacionih veza i držati ih onemogućenim do daljeg obaveštenja.
• Pregledati autentifikaciju aplikacija i korisnika, aplikacione akreditive, federacione odnose, uloge direktorijuma, vlasnike, saglasnosti i izmene politika.
• Potražiti neovlašćeno prosleđivanje pošte, pravila sandučeta ili transporta i delegirani pristup sandučićima.
• Istražiti sve druge identitete koji su menjani ili korišćeni tokom sumnjive aktivnosti.

Ograničavanje prava Application Administrator i Cloud Application Administrator, zabrana ili ograničavanje klijentskih tajni kroz politike upravljanja aplikacijama, kao i Conditional Access za radne identitete mogu smanjiti posledice krađe akreditiva. Presudan poslovni zaključak je da obustava pogođene integracije nije dovoljna: svaki upravljani zakup zahteva zaseban pregled dozvola, tajni, tokena i tragova trajnog pristupa.