Kompania amerikane ConnectWise ka mbyllur aksesin në shërbimin e saj Cloud Backup, pasi sulmuesit përdorën identitetin e këtij aplikacioni për të hyrë në mjediset Microsoft 365 të klientëve. Microsoft e ka cilësuar incidentin si një sulm aktiv ndaj zinxhirit të furnizimit (supply-chain), ndërsa firma e sigurisë Huntress raporton të paktën 162 organizata të prekura vetëm mes klientëve që monitoron.
Si ndodhi sulmi
ConnectWise Cloud Backup, i njohur më parë si SkyKick Cloud Backup, përdoret nga ofruesit e shërbimeve IT (MSP) për të ruajtur email-et dhe skedarët e klientëve në Microsoft 365. Që të funksionojë, aplikacioni merr leje të gjera në çdo organizatë ku instalohet, përmes një identiteti aplikacioni (service principal) në Microsoft Entra ID.
Sipas analizës së Todyl, të cituar nga BleepingComputer, sulmuesi u identifikua drejtpërdrejt si aplikacioni i backup-it, duke përdorur çelësin e tij sekret. Hyrjet bëheshin nga një skript automatik dhe jo nga një përdorues, ndaj verifikimi me shumë faktorë (MFA) nuk pati asnjë efekt. Me lejet ekzistuese, sulmuesi mund të lexonte dhe ndryshonte email-e, skedarë në OneDrive e SharePoint dhe biseda në Teams.
Çfarë kanë parë ekspertët
- Aktiviteti i parë i dyshimtë u regjistrua më 13 dhe 14 tetor, ndërsa Microsoft pa përpjekje të paautorizuara hyrjeje më 15 tetor, të gjitha nga e njëjta adresë IP.
- Huntress vuri re se në rreth 50 organizata aplikacionet e ConnectWise i caktuan vetes role administratori, kryesisht Exchange Administrator.
- Në një rast, sulmuesi arriti rolin Global Administrator dhe shtoi kredenciale të reja për të ruajtur aksesin.
- Administratorë në Reddit raportuan nxjerrje të dhënash nga email-et, Teams dhe SharePoint, madje edhe te klientë që nuk e kishin përdorur aplikacionin prej vitesh.
ConnectWise publikoi njoftimin e parë më 16 tetor, në orën 19:47 sipas orës së Shqipërisë, dhe të premten në mëngjes pezulloi shërbimin. Kompania thotë se deri tani nuk ka shenja që arkivat e backup-it të jenë kompromentuar. Mbetet e paqartë se si sulmuesi i mori kredencialet dhe sa të dhëna janë vjedhur.
Çfarë duhet të bëjnë administratorët
Ekspertët rekomandojnë që aplikacioni me ID 506e08f9-6e9a-4da4-942b-a099a03644ae të çaktivizohet, jo të fshihet, në çdo organizatë ku ka qenë ndonjëherë i instaluar. Duhen kontrolluar gjithashtu hyrjet e aplikacioneve në Entra, rolet e reja të administratorit dhe çdo kredencial i shtuar pas 13 tetorit. Todyl paralajmëron se tokenët e lëshuar më parë mbeten të vlefshëm deri sa të skadojnë, edhe pas çaktivizimit.
Pse ka rëndësi
Shumë biznese në Shqipëri e menaxhojnë Microsoft 365 përmes firmave të jashtme IT, të cilat përdorin mjete si ky. Incidenti tregon se MFA nuk mjafton kur një aplikacion i palës së tretë mban leje të gjera. Nëse kompania juaj ka përdorur ndonjëherë SkyKick ose ConnectWise, kërkojini ofruesit IT një kontroll të menjëhershëm, dhe rishikoni rregullisht aplikacionet që kanë akses në llogaritë tuaja.
