ConnectWise, saldırı sonrası Cloud Backup hizmetini askıya aldı

BT hizmet sağlayıcılarına (MSP) yazılım sunan ABD'li ConnectWise, eski adı SkyKick olan Cloud Backup ürünüyle ilişkili uygulama kimliklerine yönelik izinsiz erişimin ardından hizmeti askıya aldı. Şirketin Güven Merkezi'nde yayımladığı güncellemelere göre Cloud Backup, SaaS Security ve Cloud Management hizmetleri 19 Ekim itibarıyla hâlâ devre dışı ve hizmetlerin ne zaman geri döneceğine dair kesin bir tarih bulunmuyor.

Olayın zaman çizelgesi

ConnectWise'ın açıklamalarına göre sorun 14 Ekim'de fark edildi ve inceleme başlatıldı. İlk duyuru 16 Ekim'de yayımlandı. Şirket, 17 Ekim'de Cloud Backup uygulama erişimini kapattı, yedi uygulama kimliğini devre dışı bıraktı ve etkilenen bağlantılarda kullanılan sertifikaları iptal ederek hizmeti askıya aldı. 18 Ekim'de ise SaaS Security ve Cloud Management önlem amacıyla çevrim dışı bırakıldı. Bu süreçte zamanlanmış yedeklemeler, arşivlere erişim ve geri yükleme işlemleri kullanılamıyor.

Microsoft 365 kiracıları hedef alındı

Güvenlik şirketi Huntress'in 16 Ekim tarihli analizine göre saldırgan, ConnectWise Cloud Backup uygulamasına ait bir kimlik bilgisini kullanarak müşterilerin Microsoft 365 ortamlarına erişim sağladı. Huntress, ilk aşamada 162 kiracıda izinsiz girişi doğruladığını, sonraki incelemede ise saldırganın IP adresinden oturum açma etkinliği görülen 1.000'e yakın Entra kiracısı tespit ettiğini aktardı. Saldırı kullanıcı girişleri yerine uygulama kimlik doğrulamasına dayandığı için kullanıcı odaklı çok faktörlü doğrulama gibi kontroller devreye girmedi.

Huntress'in raporunda bir iş ortağı kiracısında ConnectWise Cloud Management - MS Teams uygulamasının kendisini Global Administrator rolüne eklediği ve iki başka uygulamaya yeni gizli anahtarlar tanımladığı aktarılıyor. Rapora göre etkinlikten önce hukuk bürolarının kiracılarına yönelik parola püskürtme denemeleri görüldü, ardından yaklaşık 16 kamu, politika ve ticaret odaklı kiracıyı hedef alan bir dalga yaşandı.

ConnectWise ise mevcut yedek arşivlerinin şifreli ve yalıtılmış durumda olduğunu, bunlara erişildiğine dair bir kanıt bulunmadığını belirtiyor. Şirket, tek tek müşteri kiracılarının etkilenip etkilenmediğini kendi tarafından tespit edemediğini, bu nedenle kiracı bazında inceleme yapılması gerektiğini vurguluyor.

Yöneticiler ne yapmalı?

ConnectWise ve Huntress'in tavsiyeleri şu başlıklarda toplanıyor:

• Etkilenen uygulamaları silmeden devre dışı bırakın ve ConnectWise resmi talimat verene kadar yeniden bağlamayın.
• Değişiklik yapmadan önce oturum açma ve denetim kayıtlarını saklayın.
• Uygulama kayıtlarını, onay izinlerini, dizin rollerini, koşullu erişim değişikliklerini ve posta yönlendirme kurallarını gözden geçirin.
• Kurumsal uygulamalara sizin eklemediğiniz gizli anahtar veya sertifika eklenip eklenmediğini kontrol edin.

Olay, Türkiye'de de Microsoft 365 kullanan ve yedekleme ya da yönetim hizmetlerini dış hizmet sağlayıcılardan alan kurumlar için tedarik zinciri riskini bir kez daha gündeme getiriyor.

Kaynak: ConnectWise, Huntress