ConnectWise ја суспендира услугата Cloud Backup откако напаѓачи компромитирале клиенти на Microsoft 365

Објавено: 19.10.2026

Компанијата ConnectWise во саботата соопшти дека оневозможила седум идентитети на свои апликации додека продолжува со истрагата за инцидент во кој непознати заканувачки актери добиле неовластен пристап до идентитетите на апликациите и компромитирале клиентски околини на Microsoft 365.

Оневозможените идентитети се наведени подолу:

ConnectWise Cloud Backup — 506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise Cloud Management — 2399d300-6fca-4e6a-a686-399fefe75b83
ConnectWise Cloud Management – MS Teams — 24205314-2b89-4e07-a2a4-579e898a5640
ConnectWise Cloud Management – Exchange Online — b78f6a77-d4e5-46fb-87e5-d1648bd02519
ConnectWise Cloud Management – MS Graph — 0de14c77-b9b0-4137-9360-34878a929827
ConnectWise Cloud Management – Partner Center — 412dcf96-176d-4b3a-a1b0-4981ad66971e
ConnectWise Cloud Management – SharePoint Online — b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Добавувачот на софтвер за управување со ИТ-системи соопшти дека мерката ја презел на 17 октомври 2026 година, во 07:00 часот по универзално координирано време (UTC). Дополнително, ја суспендирал услугата Cloud Backup со отповикување на сертификатите што се користеле за поврзување на засегнатите апликации кај сите корисници.

„Оневозможувањето на засегнатите поврзувања спречува нова автентикација преку тие поврзувања, но не ги поништува промените што претходно биле направени во клиентската околина“, соопшти компанијата.

„Компромитираните заеднички акредитиви на Cloud Backup повеќе не се валидни. Претходно издадените токени за пристап може да останат употребливи сè додека не истечат или не бидат поништени на друг начин. Сите неовластени акредитиви, дозволи или други форми на пристап воспоставени преку одделни идентитети бараат дополнителна проверка и отстранување.“

ConnectWise исто така истакна дека закажаните резервни копии не се извршуваат и дека пристапот до засегнатите архиви со резервни копии и можностите за обновување податоци остануваат недостапни. Сепак, компанијата нагласи дека постојните архиви остануваат шифрирани, изолирани и зачувани, како и дека нема докази дека напаѓачите ги компромитирале или имале пристап до нив.

Од претпазливост, компанијата привремено ги исклучила услугите SaaS Security и Cloud Management додека ја завршува проверката на инцидентот.

Дополнително, компанијата откри дека го идентификувала проблемот на 14 октомври 2026 година, благодарение на своите „напредни механизми за следење на сајбер-безбедноста и внимателно набљудување“. Тоа ја поттикнало да активира внатрешни и надворешни активности за истрага и одговор на инцидентот.

„Откако ги спроведовме овие мерки за ублажување на ризикот, не забележавме успешни злонамерни активности во околините што ги следиме“, соопшти компанијата. „Овој наод не ја утврдува состојбата во околините на крајните клиенти, кои, поради начинот на кој е дизајнирана услугата, не можеме директно да ги набљудуваме.“

Во оваа фаза не е јасно дали некоја ранливост во производот придонела за компромитирањето на идентитетите на апликациите. ConnectWise додаде дека точниот механизам преку кој биле изложени акредитивите сè уште се анализира.

Нападот е особено опасен бидејќи им овозможува на напаѓачите да ги злоупотребат акредитивите на апликацијата за пристап до Microsoft 365 околините на клиентите, без да мораат поединечно да ја украдат лозинката на секој клиент.

Користејќи го украдениот акредитив за да се автентицираат како самата апликација, напаѓачите можат да побараат токени за пристап од Microsoft Entra ID врз основа на постојните дозволи на апликацијата.

Во зависност од доделените дозволи, ова може да им овозможи на напаѓачите пристап до други услуги на Microsoft, вклучувајќи поштенски сандачиња, документи во SharePoint, пораки во Teams и информации од директориумот.

Бидејќи апликациите на ConnectWise работат со широки дозволи за извршување задачи за резервно копирање и управување, кражбата на акредитивот му овозможува на напаѓачот да се автентицира како самата апликација и да го прошири својот пристап на следните начини:

Додавање на апликацијата во улогата Global Administrator.
Додавање клиентски тајни во други доверливи апликации во клиентската околина.
Создавање нови апликации и доделување дозволи на истите.

На овој начин, клиентските тајни овозможуваат автентикација како соодветната апликација и воспоставување траен пристап. Тоа им дава на напаѓачите алтернативен начин повторно да добијат пристап до компромитираната околина, дури и ако првично компромитираниот акредитив подоцна биде отповикан.

Забележан втор бран насочени обиди за напад

„Последните злонамерни најавувања од првичната IP-адреса ги забележавме на 15 октомври во 08:45 часот UTC, додека насочените, рачно извршени активности продолжиле до околу 14:20 часот истиот ден“, изјави Џон Симон, главен аналитичар за безбедносни операции во Huntress, за The Hacker News.

„ConnectWise соопшти дека пристапот до Cloud Backup е исклучен и, ако е така, активностите преку таа услуга требало да престанат. Сепак, ако напаѓачот успеал да додаде акредитиви во апликации во околините на клиентите на Microsoft, тие акредитиви би му овозможиле да го задржи пристапот и да дејствува како соодветната апликација.“

Huntress соопшти дека не идентификувала нови злонамерни активности по 15 октомври, но нема докази дека нивното запирање било резултат на јавното објавување на инцидентот.

„Имаме високо ниво на сигурност дека напаѓачот ги таргетирал и апликациите ConnectWise Cloud Management за Exchange Online, Microsoft Teams и SharePoint, а ја потврдивме и злоупотребата на апликацијата Teams во една клиентска околина“, изјави Симон. „Изгледа дека ConnectWise не ги оневозможил тие апликации, па затоа е можно преку нив да се појават дополнителни активности. Активно ја истражуваме оваа можност.“

До крајот на саботата, Huntress соопшти дека идентификувала „втор, насочен бран обиди за напад“ од IP-адресата 144.172.64[.]128 на 15 октомври. Овие обиди биле насочени кон ограничена група од 16 клиентски околини и биле неуспешни. Засегнатите клиенти припаѓаат на секторите за јавни политики, национална безбедност, трговија и критични минерални суровини.

„Кај новата група цели, првото скенирање било насочено кон добивање Graph токени преку апликацијата SkyKick и се одвивало на 15 октомври, помеѓу 09:25:04 и 12:35:50 часот UTC“, соопшти Huntress. „Второто скенирање ги погодило истите клиенти на истиот датум, помеѓу 13:54:39 и 14:20:24 часот UTC. Ова скенирање изгледало како да било извршено рачно и ги таргетирало API-интерфејсите на Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra и Office 365 Management.“

Вкупно, давателот на управувани безбедносни услуги идентификувал речиси 1.000 Entra клиентски околини со активност на најавување од IP-адресата поврзана со неовластените активности. Од нив, во 300 случаи најавувањата биле успешни.

И покрај успешните најавувања, отсуството на сервисен принципал во некои клиентски околини, според извештајот, го спречило напаѓачот да добие пристап до тие околини.

На партнерите им се препорачува да ги преземат следните мерки:

Да ја проверат сопствената Microsoft 365 околина, како и секоја клиентска околина со која управуваат, вклучувајќи ги и околините со неактивни SkyKick поврзувања.
Да го проверат статусот на наведените поврзувања со апликациите и да ги остават засегнатите апликации оневозможени до понатамошно известување.
Да ги прегледаат најавувањата на сите идентитети од 13 октомври 2026 година до моментот на проверката, особено активностите што потекнуваат од IP-адресата 144.172.64[.]128.
Да ги зачуваат достапните записи за најавување и ревизија пред да започнат со мерките за ограничување на инцидентот.
Да извршат проверка на автентикацијата на апликациите и корисниците, акредитивите на апликациите и доверливите федерациски врски, улогите во директориумот, сопствениците, доделените согласности и неодамнешните промени во политиките.
Да проверат дали има неовластено пренасочување на пошта, правила за поштенското сандаче или транспортни правила, како и делегиран пристап до поштенските сандачиња.
Да ги истражат сите други идентитети што биле изменети или користени за време на сомнителните активности.

„Неколку механизми за контрола во Entra можат да ја ограничат штетата ако биде украден акредитив на апликација“, соопшти Huntress. „Политиките за управување со апликации можат да го ограничат или блокираат користењето клиентски тајни во регистрациите на апликациите и да го ограничат периодот на нивната важност. Ограничувањето на бројот на лица што ги имаат улогите Application Administrator и Cloud Application Administrator го намалува бројот на лица што можат да додаваат акредитиви во апликациите.“

„Conditional Access за идентитети на работни оптоварувања, за кој е потребна дополнителна лиценца, може да ограничи од каде смее да се најавува одредена апликација, а Microsoft Entra ID Protection може да означува ризични сервисни принципали. Ниту една од овие мерки не ја заменува проверката на акредитивите, но тие го отежнуваат користењето на тајна внесена од напаѓачот или го олеснуваат нејзиното откривање.“

Ажурирање

ConnectWise сподели две нови IP-адреси поврзани со активностите, откриени преку дополнителното безбедносно следење на клиентските и партнерските околини:

144.172.64[.]99
144.172.64[.]60

„Откако ги спроведовме мерките за ублажување на ризикот, не забележавме успешни злонамерни активности во околините што ги следиме“, соопшти ConnectWise.

„Услугите Cloud Backup, SaaS Security и Cloud Management остануваат суспендирани додека продолжуваат активностите за отстранување на проблемот и безбедносна проверка. Закажаните резервни копии, пристапот до архивите и обновувањето податоци остануваат недостапни, како и следењето и предупредувањата во SaaS Security и управувањето со корисници и лиценци во Cloud Management.“

Извори:

The Hacker News – ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants The Hacker News