ConnectWise'ın yedekleme anahtarıyla 173 Microsoft 365 kiracısına girildi

The Hacker News'in 17 Ekim haberine göre saldırgan, eski adı SkyKick olan ve yönetilen hizmet sağlayıcılarının müşterileri için Microsoft 365 verisini yedekleyen uygulamanın kimlik bilgisini ele geçirdi. Kiracı, bir kurumun Microsoft 365 içindeki ayrı ortamı demek. Huntress, 144.172.64.128 adresinden 15 Ekim'de 06.13 ile 08.34 UTC arasında Microsoft Graph erişim anahtarı alındığını gördü. Saldırgan kiracıları kimlik numarası sırasıyla, birkaç saniye arayla dolaştı; bu da hazır bir hedef listesiyle çalışan bir betiğe işaret ediyor.

Kimlik bilgisi bir kullanıcıya değil uygulamaya ait olduğu için saldırgan, müşterilerin bu uygulamaya daha önce verdiği izinlerin tamamını devraldı; çok aşamalı doğrulama devreye hiç girmedi. Microsoft olayı aktif bir tedarik zinciri saldırısı olarak tanımladı ve Directory.ReadWrite.All gibi dizin yazma izinlerinin kötüye kullanılmış olabileceğini söyledi. En az bir iş ortağı kiracısında ConnectWise'ın ikinci bir uygulaması kendini Genel Yönetici rolüne ekledi, ardından bir Python betiği iki başka güvenilir uygulamaya yeni gizli anahtar yazdı.

Todyl'e göre uygulamayı devre dışı bırakmak yeni anahtar üretimini durduruyor, ama verilmiş anahtarlar 90 dakikaya kadar geçerli kalıyor. ConnectWise uygulama erişimini ikinci bir duyuruya kadar kapattı ve iş ortaklarının yedek verisinin ele geçirildiğine dair kanıt bulmadığını açıkladı. Kimlik bilgisinin nasıl çalındığı açıklanmadı. SpecterOps'un 17 Ekim notunda Huntress'in sayısı 162 kiracı olarak geçiyor; sayı gün içinde 173'e yükseldi.