ConnectWise Bulut Yedekleme Hizmetinde Güvenlik İhlali: Microsoft 365 Kiracıları Etkilendi

ConnectWise, Microsoft 365 kiracılarına yönelik gerçekleşen güvenlik ihlali nedeniyle Cloud Backup hizmetine (eski adıyla SkyKick Cloud Backup) kullanıcı erişimini kapattı. Olayın detayları, Cuma günü itibarıyla yönetici raporları aracılığıyla ortaya çıkmaya başladı.

Güvenlik ihlali, yönetilen siber güvenlik ve tehdit tespit platformu Huntress tarafından doğrulandı. Huntress, en az 162 kiracının etkilendiğini belirtti. Microsoft da, ConnectWise Cloud Backup hizmetinde gerçekleşen kötü amaçlı etkinlikleri doğrulayarak, 15 Ekim’de bir IP adresinden yetkisiz kimlik doğrulama girişimleri tespit ettiğini açıkladı.

ConnectWise’in bulut yedekleme çözümleri, yönetilen hizmet sağlayıcıları (MSP'ler) ve IT ekiplerine müşteri verilerini koruma ve geri yükleme konusunda yardımcı oluyor. Microsoft 365 yedeklemeleri, Microsoft Entra ID üzerinden verilen izinlere dayanıyor. Uygulama kimliği olarak bilinen bir “hizmet prensibi”, yazılımın bir müşteri kiracısındaki kaynaklara erişmesini sağlıyor.

ConnectWise, güvenlik danışmanlığında, “ConnectWise Cloud Backup ortamında uygulama kimliklerine yetkisiz erişim tespit ettik” ifadesini kullandı ve ortakları ile müşterileri için uygulama erişimini kapattı. Şirket, yedekleme verilerinin ihlal edildiğine dair herhangi bir belirti olmadığını, mevcut bulut yedekleme arşivinin bu hizmet kesintisinden etkilenmeyeceğini ve hizmetler geri geldiğinde erişilebilir olacağını duyurdu.

Olayın başlangıç tarihi olarak 15 Ekim belirlendi. Kullanıcıların Reddit’te paylaştığı bilgilere göre, Microsoft Privileged Identity Management (PIM) hizmeti, SkyKick uygulaması tarafından kendine Exchange Yönetici rolü atandığına dair bildirim gönderdi. Ancak bu uygulamanın yıllardır kullanılmadığı belirtiliyor.

Huntress, izlediği yaklaşık 50 kiracıda ConnectWise’ın Cloud Management uygulamalarının kendilerine dizin rolleri atadığını kaydetti. Todyl araştırmacıları, saldırganın yedekleme uygulaması aracılığıyla Microsoft 365’e doğrudan kimlik doğrulama sağladığını ve müşterilerin daha önce verdiği izinleri kötüye kullandığını belirtti. Bu süreçte, çok faktörlü kimlik doğrulama (MFA) gibi koruma önlemleri etkisiz hale geldi.

Yapılan araştırmalara göre, Todyl araştırmacıları, dokuz kiracı üzerinde analiz edilen ihlallerde yalnızca oturum açma etkinliği tespit etti ve saldırganın hesap oluşturma, izin ekleme, şifre değiştirme veya herhangi bir kiracıda kalıcılık sağlama gibi eylemler gerçekleştirmediğini bildirdi. Ancak, bir kiracıda saldırganın kalıcılık sağladığı gözlemlendi ve bu işlemin yaklaşık beş dakika sürdüğü belirtildi.

Microsoft, bu olayı aktif bir tedarik zinciri saldırısı olarak değerlendirdi. Saldırganın, mevcut izinleri kötüye kullanarak saldırıyı gerçekleştirdiği düşünülüyor. Şu an için, kötü amaçlı bulut yedekleme hizmeti etkinliğiyle bağlantılı en az üç kullanıcı ajanı tespit edildi.