أوقفت ConnectWise وصول الشركاء والعملاء إلى خدمة Cloud Backup، المعروفة سابقاً باسم SkyKick Cloud Backup، بعد اكتشاف وصول غير مصرح به إلى هويات تطبيقية استُخدمت لاختراق مستأجرين في Microsoft 365. ووصفت Microsoft الواقعة بأنها هجوم نشط على سلسلة توريد، بينما قالت Huntress إنها رصدت ما لا يقل عن 162 مستأجراً مخترقاً ضمن بيئتها.
بدأت مؤشرات النشاط في الظهور في 15 أكتوبر، وتتبعت Microsoft وHuntress وTodyl محاولات الدخول إلى عنوان IP واحد هو 144.172.64[.]128. وأكدت Microsoft أن ConnectWise Cloud Backup شهد محاولات مصادقة غير مصرح بها، فيما قالت ConnectWise إنها أغلقت وصول التطبيقات إلى أنظمتها وبدأت التحقيق والمعالجة.
كيف استُغلت صلاحيات النسخ الاحتياطي؟
تعتمد خدمة النسخ الاحتياطي لـ Microsoft 365 على صلاحيات ممنوحة عبر Microsoft Entra ID، حيث تمثل هوية تطبيقية تعرف باسم service principal البرنامج داخل مستأجر العميل. وبحسب باحثي Todyl، صادق المهاجم مباشرة باستخدام سر التطبيق، مستفيداً من الصلاحيات التي سبق أن منحها العملاء للخدمة.
لم تتطلب العملية تسجيل دخول مستخدم، ولذلك لم تكن المصادقة متعددة العوامل كافية لمنعها. وكانت الصلاحيات الواسعة تتيح تقنياً قراءة وكتابة البريد الإلكتروني والمرفقات وملفات OneDrive وSharePoint ومحادثات Teams. وفي تسع عمليات فحصتها Todyl، لم تجد الشركة دليلاً على إنشاء حسابات أو تغيير كلمات مرور أو إنشاء آلية بقاء عبر تطبيق النسخ الاحتياطي.
محاولات بقاء وصلاحيات إدارية
رصدت Huntress على نحو 50 مستأجراً أن تطبيقات ConnectWise Cloud Management الخاصة بـ Exchange Online وMicrosoft Teams وMicrosoft Graph منحت نفسها أدواراً في الدليل، وكان أبرزها دور Exchange Administrator. وفي حالة واحدة، منح تطبيق Cloud Management - MS Teams نفسه دور Global Administrator وأضاف اعتمادات إلى أداة لإدارة خدمات مزودي التقنية وإلى تطبيق Huntress.
كما رصدت Microsoft نشاطاً خلفياً بعد مصادقة الهوية التطبيقية، تلاه استطلاع عبر Microsoft Graph ومحاولات لإضافة اعتمادات جديدة. وتشير Microsoft إلى أن المهاجم ربما استغل صلاحيات قائمة، من بينها Directory.ReadWrite.All.
ما الذي ينبغي على مسؤولي Microsoft 365 مراجعته؟
توصي ConnectWise بفحص سجلات دخول service principals في Entra، وتصفية النتائج باستخدام معرّف تطبيق Cloud Backup، ثم مراجعة عناوين المصدر غير المتوقعة. كما توصي Microsoft بمراجعة تغييرات اعتمادات التطبيقات ومنح OAuth ونشاط Graph المرتبط.
وتحذر Huntress من أن إيقاف التطبيقات المتأثرة لا يزيل بالضرورة الاعتمادات التي أضيفت مسبقاً إلى المستأجر. لذلك ينبغي فحص الأسرار والشهادات في جميع التطبيقات بحثاً عن إضافات غير مصرح بها منذ 13 أكتوبر. وتشير Todyl إلى أن تعطيل التطبيق يمنع إصدار رموز جديدة، لكنه لا يلغي الرموز القائمة حتى انتهاء صلاحيتها، كما أن إلغاء جلسات المستخدمين لا يوقف الوصول المعتمد على التطبيقات.
حددت Huntress معرّف تطبيق Cloud Backup الشرعي: 506e08f9-6e9a-4da4-942b-a099a03644ae، إضافة إلى معرّفات تطبيقات Cloud Management الأخرى. كما ربطت النشاط بوكلاء مستخدمين مثل curl/7.88.1 وpython-urllib/3.12 وpython-requests/2.31 وpython-requests/2.34.2.
ما يزال نطاق الضرر غير محسوم
قالت ConnectWise إنه لا توجد حتى الآن مؤشرات على اختراق بيانات النسخ الاحتياطية المخزنة، وإن الأرشيفات الحالية ستظل متاحة بعد استعادة الخدمة. لكن عدد الضحايا النهائي، وحجم البيانات التي ربما سُرقت، والطريقة التي حصل بها المهاجم على اعتمادات المورد، لم تتضح بعد. كما أن إيقاف الخدمة وحده لا يكفي لمعالجة آثار الاختراق داخل مستأجرين قد تكون أضيفت إليها أسرار أو شهادات أو صلاحيات جديدة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.