ConnectWise şirketi, bulut yedekleme (Cloud Backup), SaaS güvenliği (SaaS Security) ve bulut yönetimi (Cloud Management) dahil olmak üzere temel bulut hizmetlerinden bazılarını askıya aldığını duyurdu. Bu karar, saldırganların müşteri ortamlarına Microsoft 365 platformu üzerinden erişmek için ele geçirilmiş kimlik bilgilerini kullandığı güvenli olmayan bir faaliyetin tespit edilmesinin ardından alındı.
Olayların Gidişatı ve Etkilenen Hizmetler
Kriz, şirketin bulut yedekleme ortamı içinde yetkisiz faaliyetler tespit etmesiyle başladı; bu durum, soruşturmaların başlamasından yaklaşık 12 saat sonra, 17 Ekim'de eskiden SkyKick olarak bilinen hizmetin durdurulmasına yol açtı. Soruşturmanın kapsamı genişledikçe şirket, koruma önlemlerini uygulamak ve potansiyel etkiyi azaltmak amacıyla ertesi gün SaaS güvenliği ve bulut yönetimi hizmetlerini ihtiyati tedbir olarak durdurma kararı aldı.
Bu önleyici tedbir, yedekleme zamanlamalarının, arşiv erişiminin ve kurtarma işlemlerinin aksamasına neden olurken; SaaS güvenliği izleme ve uyarıları ile kullanıcı ve lisans yönetimini de etkiledi. Şirket, hizmetlerin tam olarak ne zaman döneceğine dair henüz kesin bir zaman çizelgesi sunmadı ancak Yönetilen Hizmet Sağlayıcıların (MSP'ler) ortamlarını incelemelerine ve güvence altına almalarına yardımcı olmak için teknik talimatlar yayınladı.
Saldırının Doğası ve Huntress'ın Rolü
Siber güvenlik şirketi Huntress ise ele geçirilen yedekleme kimlik bilgilerinin, ekim ortasından itibaren Microsoft 365 kiracılarına erişmek için kullanıldığını açıkladı. Teknik analizler, kimlik bilgisi türünün bir istemci onayı (client assertion) olduğunu, yani kimlik bilgisinin müşterilerin bir eylemi sonucunda değil, doğrudan sağlayıcının kendi ortamında bulunduğunu gösterdi.
Huntress, hukuk firmalarına karşı parola püskürtme (password spraying) saldırılarında kullanılan bir IP adresinden gelen faaliyeti tespit etti. Saldırganlar, Entra ortamlarındaki belirli listeleri hedefleyen betikler (scripts) aracılığıyla sızdı. Bazı oturum açma denemelerinin başarılı olmasına rağmen şirket, fiili erişimin, hedeflenen kiracı içinde ConnectWise'a ait hizmet asıl adının (service principal) bulunmasını gerektirdiğini doğruladı.
Pratikte Ne Değişiyor?
İşletme sahipleri ve BT yöneticileri, saldırgan tarafın Microsoft 365 platform ayarlarını değiştirmediğinden veya kiracıları içinde kalıcılık (persistence) mekanizmaları oluşturmadığından emin olma gibi ağır bir sorumlulukla karşı karşıya. Siber güvenlik uzmanlarına göre bazı BT yöneticileri, Microsoft'un yapılandırma ayarlarını otomatik olarak yedeklediğini yanlış bir şekilde varsayıyor; bu da bu tür saldırılardan kurtulmayı, güvenlik ekipleri tarafından kapsamlı bir manuel denetim gerektiren karmaşık bir hale getiriyor.