مهاجمان با سوءاستفاده از اعتبارنامه‌های سرقت‌شده‌ی سرویس ConnectWise Cloud Backup توانستند به محیط‌های Microsoft 365 مشتریان دسترسی پیدا کنند. این اتفاق منجر شد تا شرکت ConnectWise برای جلوگیری از گسترش حمله، دسترسی‌های اپلیکیشن را قطع کند که در نتیجه باعث توقف موقت سرویس‌های بک‌آپ ابری شد.
جزئیات فنی حمله و دامنه اثرگذاری
بر اساس گزارش‌های منتشر شده، تا تاریخ ۱۶ اکتبر، دسترسی‌های غیرمجاز در ۱۶۲ Tenant شناسایی شده است. این حادثه خطرات مرتبط با اپلیکیشن‌های تامین‌کنندگان (Vendor Applications) که دارای دسترسی‌های سطح بالا (Privileged) هستند را برجسته می‌کند.
تحقیقات نشان می‌دهد که مهاجمان با استفاده از اعتبارنامه‌های سرقت‌شده، توکن‌های Microsoft Graph را از طریق آدرس IP شماره 144.172.64[.]128 دریافت کرده‌اند. بررسی‌ها حاکی از آن است که درخواست‌ها به صورت خودکار و با فاصله زمانی بسیار کوتاه بین Tenantهای مختلف ارسال شده‌اند که نشان‌دهنده استفاده از ابزارهای اتوماسیون برای هدف‌گیری است.
تلاش برای ایجاد دسترسی پایدار (Persistence)
یکی از جنبه‌های نگران‌کننده این حمله، تلاش مهاجمان برای ایجاد دسترسی‌های بلندمدت است. در یکی از محیط‌های تحت مدیریت، مشاهده شد که اپلیکیشن ConnectWise Cloud Management – MS Teams به طور خودکار سطح دسترسی Global Administrator را برای خود تعریف کرده و Client Secretهایی را به دو اپلیکیشن دیگر اضافه نموده است.
این Secretها که تاریخ انقضای آن‌ها برای سال ۲۰۲۸ تنظیم شده بود، به مهاجمان اجازه می‌داد حتی در صورت تغییر اعتبارنامه‌های اولیه، همچنان به محیط قربانی دسترسی داشته باشند.
توصیه‌های امنیتی برای مدیران SOC و CISOs
به سازمان‌هایی که از سرویس‌های ConnectWise استفاده می‌کنند، توصیه می‌شود اقدامات زیر را به سرعت اجرا کنند:
- غیرفعال‌سازی اپلیکیشن‌ها: اپلیکیشن‌های ConnectWise Cloud Backup (با ID: 506e08f9-6e9a-4da4-942b-a099a03644ae) و Cloud Management – MS Teams (با ID: 24205314-2b89-4e07-a2a4-579e898a5640) را غیرفعال (Disable) کنند.
- بررسی لاگ‌ها: لاگ‌های Sign-in مربوط به Microsoft Entra (سابقاً Azure AD) را برای شناسایی هرگونه احراز هویت مشکوک، به‌ویژه از IP مذکور، بررسی نمایند.
- بازبینی دسترسی‌ها: تمامی Client Secretها و گواهینامه‌های (Certificates) ثبت شده در Application Registrations را بازبینی کرده و هرگونه دسترسی غیرمجاز ایجاد شده از تاریخ ۱۳ اکتبر به بعد را حذف کنند.
- حذف امتیازات اضافی: هرگونه تغییر غیرمنتظره در نقش‌های دایرکتوری (Directory Roles) یا امتیازات اپلیکیشن‌ها را شناسایی و ابطال کنند.
