بخشی از مشتریان سرویس ConnectWise Cloud Backup درگیر یک حمله زنجیره تأمین (Supply-Chain Attack) گسترده شده‌اند که منجر به نفوذ به صدها محیط Microsoft 365 شده است. این حمله از طریق سرقت یک اعتبارنامه (Credential) بسیار حساس و کلید API انجام شده است که به مهاجم اجازه می‌دهد بدون نیاز به اقدام کاربر، به اپلیکیشن‌های متصل به محیط‌های ابری دسترسی پیدا کند.
دامنه آسیب و سرویس‌های تحت تأثیر
بر اساس گزارش‌های منتشر شده توسط Huntress و Todyl، مهاجمان توانسته‌اند به طیف وسیعی از سرویس‌های Microsoft 365 در مستأجران (Tenants) مختلف دسترسی پیدا کنند، از جمله:
- Exchange Online
- Microsoft Teams
- SharePoint Online
- MS Graph
- Partner Center
تکنیک‌های مهاجم و روش حفظ دسترسی
مهاجمان از ابزارهای خودکار برای ورود به محیط‌ها استفاده کرده‌اند. این دسترسی سطح بالا به مهاجمان اجازه داده است تا از مکانیزم‌های امنیتی عبور کنند. نکات کلیدی شناسایی شده عبارتند از:
- دور زدن MFA: استفاده از سطح دسترسی بالای اپلیکیشن برای دور زدن احراز هویت چندعاملی (Multi-Factor Authentication).
- ارتقای سطح دسترسی (Privilege Escalation): حساب‌های مرتبط با اپلیکیشن، سطح دسترسی خود را ارتقا داده‌اند.
- ایجاد دسترسی پایدار (Persistence): مهاجمان با افزودن اعتبارنامه‌های جدید به سایر اپلیکیشن‌ها در محیط هدف، تلاش کرده‌اند تا حتی پس از غیرفعال شدن اپلیکیشن اصلی، دسترسی خود را حفظ کنند (Backdoor).
در حال حاضر، ConnectWise برخی از سرویس‌های خود از جمله Cloud Backup و SaaS Security را برای مهار تهدید متوقف کرده است. کارشناسان توصیه می‌کنند مشتریان حتی در صورت عدم مشاهده فعالیت مشکوک، اپلیکیشن‌های آسیب‌پذیر را غیرفعال کنند.
