شهدت خدمة ConnectWise Cloud Backup، المعروفة سابقًا باسم SkyKick Cloud Backup، اختراقًا أمنيًا كبيرًا أدى إلى وصول غير مصرح به لهويات التطبيقات، مما أثر على العديد من حسابات Microsoft 365. بدأت التقارير عن النشاط الضار في الظهور يوم الجمعة، 15 أكتوبر، مع ملاحظة المديرين التنفيذيين وصولًا غير مصرح به إلى بيانات العملاء.
أكدت منصة Huntress، المتخصصة في الأمن السيبراني، تحديد 162 حسابًا مخترقًا على الأقل في بيئتها. كما أكدت Microsoft وجود نشاط ضار يتضمن خدمة ConnectWise Cloud Backup، مشيرة إلى محاولات مصادقة غير مصرح بها من عنوان IP واحد في 15 أكتوبر.
كيف تم الهجوم؟
تعتمد خدمة ConnectWise Cloud Backup على أذونات ممنوحة من خلال Microsoft Entra ID. تمكن المهاجمون من المصادقة مباشرة على Microsoft 365 بصفتهم تطبيق النسخ الاحتياطي، باستخدام سر التطبيق للحصول على الأذونات التي منحها العملاء مسبقًا. نظرًا لأن طلبات تسجيل الدخول تمت بواسطة نص برمجي ولم تتضمن تسجيل دخول المستخدم، فإن إجراءات الحماية مثل المصادقة متعددة العوامل (MFA) لم تكن فعالة.
وفقًا لباحثي Todyl، سمحت هذه الأذونات للمهاجم بالقدرة التقنية على قراءة وكتابة رسائل البريد الإلكتروني والمرفقات، وملفات OneDrive وSharePoint، ومحادثات Teams. كما لاحظت Huntress وMicrosoft محاولات ترسيخ الاختراق، حيث منحت بعض التطبيقات نفسها أدوارًا إدارية، بما في ذلك Global Administrator في إحدى الحالات.
ماذا يعني هذا للمطورين ومسؤولي الأنظمة؟
يُعد هذا الهجوم تذكيرًا بخطورة هجمات سلسلة التوريد وكيف يمكن للوصول غير المصرح به إلى هويات التطبيقات أن يتجاوز تدابير الأمان التقليدية. يجب على الفرق التقنية التركيز على مراقبة أذونات التطبيقات والأنشطة غير المعتادة.
- توصي ConnectWise بمراجعة تسجيلات دخول كيانات الخدمة (service principal sign-ins) في Entra، والتصفية حسب معرف تطبيق Cloud Backup، وفحص عناوين IP المصدر غير المتوقعة.
- تنصح Microsoft بمراجعة تغييرات بيانات اعتماد التطبيق، ومنح OAuth، والنشاطات المتعلقة بـ Microsoft Graph API.
- تحث Huntress المسؤولين على تعطيل تطبيقات ConnectWise المتورطة، وفحص بيانات اعتماد التطبيقات بحثًا عن إضافات غير مصرح بها، ومراجعة عمليات دمج Cloud Management الأخرى.
يحذر Todyl من أن تعطيل التطبيق يوقف إصدار الرموز المميزة الجديدة، لكن الرموز المميزة الحالية تظل صالحة حتى انتهاء صلاحيتها، وإلغاء جلسات المستخدم لا ينهي الوصول المستند إلى التطبيق.
قامت ConnectWise بإيقاف خدمة النسخ الاحتياطي في 17 أكتوبر الساعة 05:01 بالتوقيت العالمي المنسق، ولم تقدم جدولًا زمنيًا لاستعادة الاتصال. لم تُظهر الشركة أي دليل على اختراق البيانات المخزنة، وقالت إن الأرشيفات الحالية ستكون متاحة عند استعادة الخدمات. لا يزال عدد الضحايا ونطاق سرقة البيانات غير واضحين حتى الآن.
المصدر: bleepingcomputer.com