हैकर्स ने ConnectWise क्रेडेंशियल का उपयोग करके 173 Microsoft 365 टेनेंट्स तक अनधिकृत पहुंच प्राप्त की

white iMac turned off — Jessy Smith / Unsplash

अज्ञात खतरे वाले तत्वों ने ConnectWise Cloud Backup, जिसे पहले SkyKick के नाम से जाना जाता था, के एक समझौता किए गए Microsoft 365 क्रेडेंशियल का दुरुपयोग किया है। इस हमले के माध्यम से हमलावरों ने ग्राहकों के Microsoft 365 वातावरण तक अनधिकृत पहुंच प्राप्त की है।

Huntress ने बताया कि उसने इस समझौता किए गए विक्रेता क्रेडेंशियल का उपयोग करके 173 भागीदार और ग्राहक टेनेंट्स के भीतर अनधिकृत साइन-इन की पुष्टि की है। यह घटना उन सभी संगठनों को प्रभावित करती है जिन्होंने इस ऐप को स्थापित किया है, क्योंकि यह क्रेडेंशियल हर उस टेनेंट पर काम करता है जहां ऐप को सहमति दी गई है।

सुरक्षा शोधकर्ताओं के अनुसार, 15 अक्टूबर को 06:13 और 08:34 UTC के बीच एक विशिष्ट आईपी पते का उपयोग करके ग्राहक टेनेंट्स से Microsoft Graph टोकन प्राप्त किए गए। हमलावर एक लक्ष्य सूची से काम करने वाले स्क्रिप्ट का उपयोग कर रहे थे, क्योंकि वे कुछ सेकंड के अंतराल पर सॉर्ट किए गए GUID क्रम में टेनेंट्स के माध्यम से आगे बढ़े।

चूंकि ConnectWise Cloud Backup को मेलबॉक्स, OneDrive, SharePoint, Teams और निर्देशिका डेटा तक व्यापक पहुंच दी गई है, इसलिए टोकन रखने वाला हमलावर उसी स्तर का डेटा पढ़ सकता है। Huntress ने यह भी पाया कि एक भागीदार टेनेंट में, एक अलग ConnectWise ऐप ने खुद को ग्लोबल एडमिनिस्ट्रेटर विशेषाधिकार दिए और अन्य विश्वसनीय अनुप्रयोगों में क्रेडेंशियल जोड़ दिए, जिससे जोखिम विक्रेता खाते से आगे बढ़ गया।

Todyl ने भी विश्लेषण में पाया कि एक अनधिकृत पक्ष ने ConnectWise Cloud Backup एप्लिकेशन के रूप में Microsoft Graph को प्रमाणित किया। इस पहुंच में मेल, अटैचमेंट, OneDrive, SharePoint फाइलों और Teams चैट तक पढ़ने और लिखने की अनुमति शामिल थी। यह स्पष्ट किया गया है कि केवल उपयोगकर्ता सत्रों को रद्द करने से यह पहुंच समाप्त नहीं होती है।

प्रतिक्रिया स्वरूप, ConnectWise ने अगली सूचना तक Cloud Backup एप्लिकेशन एक्सेस को बंद कर दिया है। कंपनी ने कहा है कि उसे Cloud Backup भागीदार बैकअप डेटा के साथ समझौता होने का कोई सबूत नहीं मिला है। उपयोगकर्ताओं को सलाह दी गई है कि वे ConnectWise द्वारा क्रेडेंशियल रीसेट की पुष्टि करने तक एप्लिकेशन को अक्षम कर दें और Entra ऑडिट लॉग की जांच करें।