شرکت ConnectWise اعلام کرد که در پی تحقیقات پیرامون یک حادثه امنیتی، هفت هویت اپلیکیشن (Application Identity) خود را غیرفعال کرده است. در این حمله، عوامل تهدید (Threat Actors) ناشناس موفق شده‌اند به هویت‌های اپلیکیشن دسترسی غیرمجاز پیدا کرده و محیط‌های Microsoft 365 مشتریان را به خطر بیندازند.
این شرکت که ارائه‌دهنده نرم‌افزارهای مدیریت IT است، اعلام کرد که در تاریخ ۱۷ اکتبر ۲۰۲۶، سرویس Cloud Backup را با ابطال گواهی‌های (Certificates) مورد استفاده در اتصالات اپلیکیشن‌های آسیب‌دیده، به طور موقت متوقف کرده است. اگرچه دسترسی به آرشیوهای پشتیبان فعلاً غیرممکن است، اما ConnectWise تأکید کرد که آرشیوهای موجود همچنان رمزنگاری شده و ایزوله هستند و شواهدی مبنی بر دسترسی مهاجمان به آن‌ها وجود ندارد.
جزئیات فنی و مکانیزم حمله
این حمله بسیار خطرناک است زیرا به مهاجم اجازه می‌دهد بدون نیاز به سرقت رمز عبور تک‌تک کاربران، از اعتبارنامه‌های اپلیکیشن (Application Credentials) برای دسترسی به محیط‌های Microsoft 365 استفاده کند. مهاجم با استفاده از این اعتبارنامه‌ها می‌تواند از طریق Microsoft Entra ID درخواست توکن‌های دسترسی (Access Tokens) دریافت کند.
بسته به سطح دسترسی‌های تعریف شده برای اپلیکیشن، مهاجم می‌تواند به سرویس‌های زیر دسترسی پیدا کند:
- صندوق‌های پستی (Mailboxes)
- مستندات SharePoint
- پیام‌های Microsoft Teams
- اطلاعات دایرکتوری (Directory Information)
علاوه بر این، مهاجم می‌تواند با افزودن خود به نقش Global Administrator یا ایجاد Client Secrets جدید برای سایر اپلیکیشن‌های مورد اعتماد، ماندگاری (Persistence) خود را در محیط مشتری تضمین کند.
گزارش‌های رصد شده
تحلیلگران شرکت Huntress گزارش داده‌اند که علاوه بر فعالیت‌های اولیه، یک موج هدفمند دوم نیز مشاهده شده که بخش‌های حساس مانند امنیت ملی و زیرساخت‌های حیاتی را هدف قرار داده است. طبق آمار، تقریباً ۱۰۰۰ محیط (Tenant) در Microsoft Entra شناسایی شده‌اند که فعالیت‌های مشکوک از یک IP مشخص در آن‌ها مشاهده شده و در حدود ۳۰۰ مورد از آن‌ها با موفقیت مورد نفوذ قرار گرفته‌اند.
اقدامات پیشنهادی برای مدیران امنیت
برای کاهش آسیب‌های احتمالی، توصیه می‌شود اقدامات زیر در محیط Microsoft Entra انجام شود:
- محدود کردن یا مسدود کردن Client Secrets در ثبت اپلیکیشن‌ها (App Registrations).
- کنترل دسترسی‌های نقش‌های Application Administrator و Cloud Application Administrator.
- استفاده از Conditional Access برای هویت‌های Workload جهت محدود کردن مکان‌های مجاز برای ورود.
- بررسی مستمر Service Principals مشکوک در Microsoft Entra ID Protection.
به‌روزرسانی (اکتبر 19, 2026 — The Register)
به‌روزرسانی: جزئیات فنی جدیدی از نحوه نفوذ به محیط‌های ConnectWise منتشر شده است. مشخص شده است که عامل تهدید (threat actor) با سوءاستفاده از یک Application ID مشخص، موفق شده سطح دسترسی خود را به Global Administrator ارتقا دهد.
در همین راستا، تیم امنیتی Huntress هشدار داده است که صرفاً غیرفعال کردن اپلیکیشن‌های مشکوک برای رفع تهدید کافی نیست؛ زیرا مهاجم ممکن است اعتبارنامه‌های جدیدی را به سایر اپلیکیشن‌ها اضافه کرده باشد. بنابراین، تمامی M365 application credentials باید به طور کامل بازبینی شوند.
همچنین مشخص شد که سرویس Cloud Backup که در این حادثه تحت تأثیر قرار گرفته، پیش از این با نام SkyKick شناخته می‌شد.
به‌روزرسانی (اکتبر 19, 2026 — csoonline.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که مهاجمان با سوءاستفاده از توکن‌های Microsoft Graph، مکانیزم احراز هویت چندعاملی (MFA) را دور زده‌اند. شرکت Huntress تأیید کرده است که ۱۶۲ سازمان تحت تأثیر این نفوذ قرار گرفته‌اند. علاوه بر سرویس Cloud Backup، اپلیکیشن Cloud Management برای Microsoft Teams نیز در این حادثه درگیر بوده است.
عامل تهدید با استفاده از اعتبارنامه‌های به‌دست‌آمده، توانسته است در برخی محیط‌ها نقش Global Administrator را به خود اختصاص دهد. همچنین، آدرس‌های IP مخرب زیر شناسایی شده‌اند: 144.172.64[.]128، 144.172.64[.]99 و 144.172.64[.]60. شرکت ConnectWise در پاسخ به این وضعیت، هفت هویت اپلیکیشن (Application Identity) را غیرفعال و سرویس‌های Cloud Backup، SaaS Security و Cloud Management را موقتاً متوقف کرده است.
کارشناسان هشدار می‌دهند که به دلیل محدودیت در لاگ‌های Audit مربوط به برخی از قابلیت‌های Microsoft Graph، اثبات یا رد سرقت داده‌ها دشوار است. مدیران سیستم توصیه شده‌اند تا تمامی تنظیمات مربوط به نقش‌های دسترسی (Directory Roles)، مجوزهای داده (Consent Grants) و قوانین انتقال ایمیل (Mailbox Forwarding) را به دقت بازبینی کنند.
به‌روزرسانی (اکتبر 19, 2026 — Help Net Security)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که اپلیکیشن مورد نفوذ، پیش‌تر با نام SkyKick شناخته می‌شد و این حادثه به عنوان یک حمله زنجیره تأمین (Supply Chain Attack) شناسایی شده است. شرکت Huntress تأیید کرده است که دسترسی‌های غیرمجاز به حداقل ۱۶۲ مستأجر (Tenant) در محیط Microsoft 365 صورت گرفته است.
بررسی‌ها نشان می‌دهد که مهاجمان در تاریخ ۱۵ اکتبر، با استفاده از آدرس IP 144.172.64[.]128، از طریق یک اسکریپت خودکار (Automated Script) اقدام به ورود به حساب‌ها کرده‌اند. این فعالیت‌ها با سوءاستفاده از هویت‌های اپلیکیشن (Application Identities) انجام شده است که به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت کاربر، دسترسی‌های گسترده‌ای را در محیط‌های ابری کسب کند.
یکی از نگرانی‌های اصلی، ایجاد مسیرهای دسترسی پایدار (Persistence) از طریق ایجاد اعتبارنامه‌ها یا نقش‌های مدیر (Administrator Roles) جدید در حساب‌های قربانی است. شرکت ConnectWise در پاسخ به این تهدید، سرویس‌های خود را موقتاً متوقف کرده و راهنمای اصلاحی (Remediation Guide) برای مدیران سیستم جهت بررسی نقش‌ها و حذف هویت‌های مشکوک منتشر کرده است.
به‌روزرسانی (اکتبر 19, 2026 — Malware News)
به‌روزرسانی: تحقیقات جدید توسط شرکت امنیتی Huntress نشان می‌دهد که دامنه نفوذ به سرویس‌های ConnectWise بسیار گسترده‌تر از گزارش‌های اولیه است. بر اساس یافته‌ها، تقریباً ۱,۰۰۰ مستاجر (Tenant) در محیط Microsoft Entra تحت تأثیر قرار گرفته‌اند که بیش از ۳۰۰ مورد احراز هویت (Authentication) موفق در آن‌ها ثبت شده است. این فعالیت‌های مشکوک از طریق آدرس IP 144.172.64[.]128 شناسایی شده است.
نکته بسیار مهم برای تیم‌های SOC این است که این حمله برخلاف حملات سنتی، از طریق سرقت رمز عبور کاربران انجام نشده، بلکه با سوءاستفاده از یک Client Assertion یا API Secret مربوط به اپلیکیشن‌های ConnectWise صورت گرفته است. این موضوع باعث می‌شود که تغییر رمز عبور کاربران یا فعال‌سازی MFA به تنهایی مانع از دسترسی مهاجم نشود، زیرا مهاجم مستقیماً با هویت اپلیکیشن (Workload Identity) وارد محیط می‌شود.
علاوه بر این، شواهدی از تلاش مهاجمان برای ایجاد پایداری (Persistence) در محیط‌های هدف مشاهده شده است. در برخی موارد، اپلیکیشن‌های مهاجم توانسته‌اند خود را به عنوان مدیر کل (Global Administrator) ارتقا داده و با افزودن Client Secretهای جدید به سایر اپلیکیشن‌های مورد اعتماد، دسترسی‌های خود را حتی پس از غیرفعال شدن حساب اصلی، حفظ کنند. همچنین، موج دوم این حملات به طور مشخص بخش‌هایی مانند امنیت ملی و زیرساخت‌های حیاتی را هدف قرار داده است.
به‌روزرسانی (اکتبر 19, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید از ابعاد گسترده‌تر این نفوذ پرده برداشته‌اند. طبق یافته‌های منتشر شده، تقریباً ۱,۰۰۰ مستأجر (Tenant) در سرویس Microsoft Entra هدف قرار گرفته‌اند که در این میان، بیش از ۳۰۰ مورد ورود موفقیت‌آمیز (Successful Sign-in) توسط مهاجم ثبت شده است.
تحقیقات نشان می‌دهد که عامل تهدید با سوءاستفاده از اعتبارنامه‌های نوع client assertion توانسته است به محیط‌های هدف دسترسی پیدا کند. همچنین مشخص شده است که مهاجم از آدرس IP 144.172.64[.]128 برای انجام این عملیات استفاده کرده است.
در پی این تحولات، شرکت ConnectWise علاوه بر سرویس‌های قبلی، اکنون سرویس‌های SaaS Security و Cloud Management خود را نیز به منظور اعمال اقدامات حفاظتی و مهار تهدید (Mitigation) موقتاً متوقف کرده است.
به‌روزرسانی (اکتبر 19, 2026 — Malware News)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که این حمله با سوءاستفاده از یک API secret سرقت‌شده انجام شده است. تا این لحظه، تعداد ۱۷۳ قربانی شناسایی شده‌اند. مهاجم با بهره‌برداری از این اعتبارنامه، موفق شده است نقش‌های Global Administrator را در محیط‌های هدف کسب کرده و برای تضمین دسترسی‌های طولانی‌مدت، در اپلیکیشن‌های دیگر محیط (tenant) نیز persistence ایجاد کند.
همچنین، نشانگرهای آلودگی (IOCs) زیر برای فعالیت‌های مشکوک منتشر شده است:
- آدرس‌های IP مشکوک: 144.172.64[.]128، 144.172.64[.]99، 144.172.64[.]60
- User-Agents مشاهده شده: Python-urllib/3.12، python-requests/2.31، curl/7.88.1
توصیه می‌شود سازمان‌هایی که از سرویس‌های ConnectWise Cloud Backup استفاده می‌کنند، تا زمان بازنشانی تمامی اعتبارنامه‌ها توسط شرکت، این سرویس را غیرفعال کرده و فرآیند threat hunting را بر اساس IOCهای مذکور آغاز کنند.
به‌روزرسانی (اکتبر 19, 2026 — databreachtoday.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که مهاجمان با سرقت یک API secret متعلق به سرویس Cloud Backup (که پیش‌تر با نام SkyKick شناخته می‌شد)، توانسته‌اند به محیط‌های Microsoft 365 مشتریان دسترسی پیدا کنند. گزارش شرکت Huntress حاکی از آن است که از میان حدود ۱,۰۰۰ تلاش برای ورود، ۳۰۰ مورد با موفقیت انجام شده و مهاجمان تنها در عرض ۵ دقیقه توانسته‌اند دسترسی پایدار (Persistence) خود را در محیط‌های هدف برقرار کنند.
مهاجمان با سوءاستفاده از این دسترسی، توانسته‌اند امتیازات سطح بالا مانند Global Administrator را در Microsoft Entra ID برای برخی اپلیکیشن‌ها کسب کنند. این فعالیت‌ها به آن‌ها اجازه داده تا به داده‌های حساس در سرویس‌هایی نظیر Teams، SharePoint و OneDrive دسترسی داشته باشند. شواهد نشان می‌دهد که مهاجمان احتمالاً سازمان‌ها را به ترتیب حروف الفبا هدف قرار داده‌اند.
در راستای اقدامات اصلاحی (Remediation)، شرکت ConnectWise توصیه کرده است که اپلیکیشن‌های قانونی باید غیرفعال (Disable) شوند، اما به هیچ وجه نباید حذف (Delete) گردند؛ زیرا حذف آن‌ها قابلیت بازیابی (Restoration) بک‌آپ‌های موجود را از بین می‌برد. همچنین توصیه می‌شود اپلیکیشن‌های مشکوک و جدید بلافاصله قرنطینه شوند.
