ConnectWise'ın yedekleme uygulamasının kimliği çalındı, saldırganlar yüzlerce Microsoft 365 ortamına girdi

Kurumlara BT hizmeti veren şirketlerin yaygın kullandığı ConnectWise’ın Microsoft 365 yedekleme hizmeti, bir tedarik zinciri saldırısının merkezinde kaldı. Saldırganlar, eski adı SkyKick olan ConnectWise Cloud Backup uygulamasının Microsoft 365’e bağlanırken kullandığı kimlik bilgisini ele geçirdi. Bu uygulama, yedekleme yapabilmek için kurulu olduğu her müşteri ortamında e-postalara, OneDrive ve SharePoint dosyalarına, Teams yazışmalarına ve dizin bilgilerine geniş erişim yetkisine sahip.

Bu tür bir saldırıyı tehlikeli kılan, saldırganın müşterilerin parolalarını tek tek çalmasına gerek kalmaması. Uygulamanın kimliğiyle giriş yapan saldırgan, uygulamaya verilmiş bütün izinleri devralıyor ve uygulamanın kurulu olduğu her ortamda aynı şeyleri yapabiliyor. Kullanıcıların oturumlarını kapatmak ya da parolalarını değiştirmek bu erişimi kesmiyor.

Güvenlik şirketi Huntress’e göre saldırganlar 15 Ekim sabahı, tek bir IP adresinden, ortamları sırayla ve birkaç saniye arayla dolaşarak 173 Microsoft 365 ortamında giriş yaptı. Bu hareket bir hedef listesi üzerinde çalışan bir betiğe işaret ediyor. En az bir ortamda ConnectWise’ın Teams uygulaması kendini en yüksek yetkili Global Administrator rolüne ekledi ve ortamdaki iki güvenilir uygulamaya yeni gizli anahtarlar tanımladı. Bunlardan biri BT hizmet sağlayıcısının yönetim uygulaması, diğeri Huntress’in kendi güvenlik uygulamasıydı. Bu adım, ConnectWise kimliği iptal edilse bile saldırganlara geri dönebilecekleri ayrı bir kapı bırakıyor. Huntress, aynı adresten yaklaşık bin ortamda giriş denendiğini ve bunların 300’ünün başarılı olduğunu, ayrıca politika, ulusal güvenlik, ticaret ve kritik mineraller alanındaki 16 ortamı hedef alan ikinci, daha seçici bir dalga gördüğünü açıkladı.

ConnectWise, sorunu 14 Ekim’de tespit ettiğini ve 17 Ekim’de yedi uygulama kimliğini devre dışı bıraktığını duyurdu. Cloud Backup hizmeti durduruldu, planlı yedeklemeler çalışmıyor ve yedeklerden geri yükleme şu an yapılamıyor. Şirket önlem olarak SaaS Security ve Cloud Management hizmetlerini de geçici olarak kapattı. ConnectWise’a göre yedek arşivleri şifreli ve ayrı tutuluyor, bunlara erişildiğine dair bir kanıt yok. Şirket kimliğin nasıl ele geçirildiğini ve bir ürün açığının rol oynayıp oynamadığını hâlâ inceliyor.

Önerilen önlemler

ConnectWise ya da SkyKick kullanan BT hizmet sağlayıcılarının hem kendi Microsoft 365 ortamlarını hem de yönettikleri her müşteri ortamını incelemesi gerekiyor. Eskiden kurulup unutulmuş SkyKick bağlantıları da buna dahil. Microsoft Entra yönetim merkezinde, “Service principal sign-ins” sekmesinde 506e08f9-6e9a-4da4-942b-a099a03644ae uygulama kimliğiyle yapılan girişler ve 144.172.64[.]128 adresinden gelen hareketler aranmalı. Normal kullanıcı girişleri sekmesi bu kayıtları göstermiyor.

Etkilenen uygulamalar ConnectWise aksini bildirene kadar kapalı tutulmalı. 13 Ekim’den bu yana uygulamalara eklenen yeni anahtarlar, rol atamaları, izin onayları, e-posta yönlendirme ve gelen kutusu kuralları gözden geçirilmeli. Huntress, Microsoft Graph etkinlik kayıtlarının açılmasını ve uygulamalara gizli anahtar eklenmesini sınırlayan politikaların uygulanmasını da öneriyor. Çünkü dizin okuma gibi bazı işlemler başka türlü kayıt bırakmıyor.

Olay, yönetim ve yedekleme araçlarına verilen geniş yetkilerin bir gün saldırganın eline geçebileceğini hatırlatıyor. Bir aracın kurulu olduğu her ortamda nelere erişebildiğini bilmek ve yetkileri gerçekten gerekenle sınırlamak, bu tür saldırıların etkisini doğrudan belirliyor.