ConnectWise, daha önce SkyKick Cloud Backup olarak bilinen Cloud Backup hizmetine ortakların ve müşterilerin erişimini, Microsoft 365 kiracılarını ihlal etmek için kullanılan uygulama kimliklerine yetkisiz erişim tespit edilmesinin ardından durdurdu. Microsoft olayı aktif bir tedarik zinciri saldırısı olarak nitelendirirken Huntress, kendi ortamında en az 162 ihlal edilmiş kiracı tespit ettiğini söyledi.
Faaliyete ilişkin göstergeler 15 Ekim'de ortaya çıkmaya başladı. Microsoft, Huntress ve Todyl, 144.172.64[.]128 adresindeki tek bir IP adresine yönelik oturum açma girişimlerini izledi. Microsoft, ConnectWise Cloud Backup'ta yetkisiz kimlik doğrulama girişimleri görüldüğünü doğrularken ConnectWise, uygulamaların sistemlerine erişimini kapattığını ve soruşturma ile iyileştirme çalışmalarına başladığını söyledi.
Yedekleme ayrıcalıkları nasıl istismar edildi?
Microsoft 365 yedekleme hizmeti, Microsoft Entra ID üzerinden verilen ayrıcalıklara dayanır. Burada service principal olarak bilinen bir uygulama kimliği, müşteri kiracısı içindeki programı temsil eder. Todyl araştırmacılarına göre saldırgan, müşterilerin daha önce hizmete verdiği ayrıcalıklardan yararlanarak uygulama sırrını kullanıp doğrudan kimlik doğrulaması yaptı.
İşlem kullanıcı oturumu açılmasını gerektirmediğinden çok faktörlü kimlik doğrulama bunu engellemek için yeterli olmadı. Geniş ayrıcalıklar teknik olarak e-postaları ve ekleri, OneDrive ile SharePoint dosyalarını ve Teams sohbetlerini okuma ve yazma olanağı sağlıyordu. Todyl'in incelediği dokuz olayda şirket, hesap oluşturulduğuna, parolaların değiştirildiğine veya yedekleme uygulaması üzerinden kalıcılık mekanizması oluşturulduğuna dair kanıt bulmadı.
Kalıcılık girişimleri ve yönetici ayrıcalıkları
Huntress yaklaşık 50 kiracıda, Exchange Online, Microsoft Teams ve Microsoft Graph için ConnectWise Cloud Management uygulamalarının kendilerine dizin rolleri verdiğini tespit etti. Bunların en önemlisi Exchange Administrator rolüydü. Bir olayda Cloud Management - MS Teams uygulaması kendisine Global Administrator rolü verdi ve bir teknoloji hizmet sağlayıcısı hizmet yönetim aracına ve Huntress uygulamasına kimlik bilgileri ekledi.
Microsoft ayrıca uygulama kimliği doğrulandıktan sonra arka planda gerçekleşen faaliyetler ve bunu izleyen Microsoft Graph keşfi ile yeni kimlik bilgileri ekleme girişimleri tespit etti. Microsoft, saldırganın Directory.ReadWrite.All da dahil olmak üzere mevcut ayrıcalıklardan yararlanmış olabileceğini belirtiyor.
Microsoft 365 yöneticileri neleri gözden geçirmeli?
ConnectWise, Entra'daki service principal oturum açma günlüklerinin incelenmesini, sonuçların Cloud Backup uygulama kimliği kullanılarak filtrelenmesini ve beklenmeyen kaynak adreslerinin gözden geçirilmesini öneriyor. Microsoft da uygulama kimlik bilgilerindeki değişikliklerin, OAuth izinlerinin ve ilgili Graph faaliyetlerinin incelenmesini öneriyor.
Huntress, etkilenen uygulamaların durdurulmasının kiracıya daha önce eklenmiş kimlik bilgilerini mutlaka kaldırmadığı konusunda uyarıyor. Bu nedenle tüm uygulamalardaki sırlar ve sertifikalar 13 Ekim'den bu yana yetkisiz eklemeler açısından incelenmeli. Todyl, uygulamanın devre dışı bırakılmasının yeni belirteçlerin çıkarılmasını engellediğini, ancak mevcut belirteçleri süreleri dolana kadar iptal etmediğini belirtiyor. Ayrıca kullanıcı oturumlarının iptal edilmesi, uygulama tabanlı erişimi durdurmuyor.
Huntress, meşru Cloud Backup uygulama kimliğini şu şekilde belirledi: 506e08f9-6e9a-4da4-942b-a099a03644ae. Buna ek olarak diğer Cloud Management uygulamalarının kimliklerini de paylaştı. Ayrıca faaliyeti curl/7.88.1, python-urllib/3.12, python-requests/2.31 ve python-requests/2.34.2 gibi kullanıcı aracılarıyla ilişkilendirdi.
Zararın kapsamı hâlâ belirsiz
ConnectWise, şu ana kadar depolanan yedekleme verilerinin ihlal edildiğine dair bir gösterge bulunmadığını ve hizmet yeniden sağlandığında mevcut arşivlerin erişilebilir olmaya devam edeceğini söyledi. Ancak nihai mağdur sayısı, çalınmış olabilecek veri miktarı ve saldırganın tedarikçinin kimlik bilgilerini nasıl elde ettiği henüz netleşmedi. Ayrıca yalnızca hizmetin durdurulması, sırların, sertifikaların veya yeni ayrıcalıkların eklenmiş olabileceği kiracılardaki ihlalin etkilerini gidermek için yeterli değil.