В понедельник ConnectWise сообщила о принятии мер по устранению последствий инцидента безопасности, включая усиление защиты административного доступа, сброс учетных записей и замену учетных данных приложений. Это связано с инцидентом, который привел к несанкционированному доступу к идентификаторам приложений, связанным с Cloud Backup. Компания заявила, что выполнила следующие действия с момента начала внедрения мер по смягчению последствий 17 октября в 5:00 UTC, через три дня после первого выявления инцидента. ConnectWise заявила, что проверяет эффективность своих мер по сдерживанию и подчеркнула, что не видела никакой успешной активности угроз в контролируемых ею средах. Нет никаких доказательств того, что какие-либо продукты и услуги ConnectWise, кроме Cloud Backup и превентивных приостановок SaaS Security и Cloud Management, затронуты. «Это наблюдение не устанавливает, были ли затронуты отдельные арендаторы Microsoft 365 партнеров или клиентов», — говорится в сообщении. «Проверка каждого потенциально затронутого арендатора остается важной». «Перед внесением изменений сохраните соответствующие доказательства, проверьте результаты и оцените потенциальное операционное воздействие. Выполнение этих шагов не гарантирует, что арендатор не затронут или что весь несанкционированный доступ устранен. Не переподключайте затронутые приложения до тех пор, пока ConnectWise не предоставит официальные инструкции по восстановлению». Huntress поделилась следующими IP-адресами, связанными с этой активностью, добавив, что атаки методом подбора паролей (password spray) и неудачные попытки входа, связанные с некоторыми из них, вряд ли имеют отношение к активности входа в приложение. «При проверке входов в приложения в более чем 10 000 арендаторов с приложениями ConnectWise (где мы можем видеть эти журналы) только адреса 144.172.64[.]128 и внутренние диапазоны Microsoft показали активность входа в приложение», — заявили исследователи Huntress в обновлении. «Мы не видели активности входа в приложение с каких-либо других адресов, перечисленных ниже, все из которых находятся в том же диапазоне провайдера, что и 144.172.64[.]128 (AS14956, RouterHosting). Мы видели атаки методом подбора паролей и неудачные попытки входа с некоторых из них». Кибербезопасная компания заявила, что также наблюдала действия после компрометации во втором арендаторе, следуя тому же образцу, что и раньше, в котором приложение предоставило себе права глобального администратора, а затем добавило новый секрет в небольшое количество других приложений в арендаторе для обеспечения постоянства. Хотя доступ мог использоваться для чтения каталогов Microsoft Graph, нет никаких признаков того, что злоумышленники использовали его для манипулирования почтовыми ящиками или файлами, или для внесения изменений в пользователей или политики. «Выбор приложений для установки бэкдоров казался случайным в двух проверенных нами арендаторах», — добавила Huntress. «В двух скомпрометированных арендаторах идентичный поток предоставления разрешений выбрал два совершенно разных набора приложений. Единственным последовательным критерием, на который мы можем указать, является структурный: учетные данные были размещены в приложениях, зарегистрированных внутри затронутого арендатора, независимо от того, что эти приложения могут фактически делать».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
