ConnectWise wyłącza integracje z Microsoft 365 po przejęciu danych dostępowych

ConnectWise zawiesił Cloud Backup i wyłączył siedem tożsamości aplikacji po wykryciu nieuprawnionego dostępu. Aktualizacja producenta z 18 października, godz. 01:00 UTC, czyli 03:00 w Polsce, potwierdza unieważnienie certyfikatów wykorzystywanych przez objęte incydentem połączenia.

Co nowego ujawniono

Pierwszy komunikat pochodzi z 16 października, więc sam incydent poprzedza wskazane okno. Istotną nowością są działania ograniczające dostęp oraz szczegółowe zalecenia kontroli środowisk klientów, opublikowane 17 października i w nocy 18 października. To aktualizacja rozwijającej się sprawy.

ConnectWise podaje, że wyłączenie siedmiu tożsamości nastąpiło 17 października o 07:00 UTC. Producent zaznacza, że nie cofa to zmian dokonanych wcześniej wewnątrz środowisk klientów. W komunikacie z 17 października informował również o braku oznak naruszenia przechowywanych kopii zapasowych.

Dlaczego trzeba sprawdzić inne aplikacje

Huntress niezależnie opisał wykorzystanie dostępu aplikacyjnego do dodania nowych danych uwierzytelniających do innych zaufanych aplikacji w jednym środowisku klienta. Tak pozostawiony dostęp wymaga osobnego usunięcia. Samo zablokowanie pierwotnej integracji nie kończy całego postępowania.

Uprawnienia aplikacji wykonującej kopie zapasowe mogą obejmować pocztę i pliki. Z tego powodu kontrola powinna objąć tożsamości aplikacyjne, ich uprawnienia i historię zmian.

Co zrobić teraz

• Zidentyfikować integracje ConnectWise oraz starsze wpisy SkyKick w Microsoft Entra.
• Sprawdzić dzienniki logowania jednostek usługi, a nie wyłącznie logowania użytkowników.
• Przejrzeć nowe sekrety, certyfikaty, zgody i przydziały ról; wyjaśnić każdą nieautoryzowaną zmianę.
• Zabezpieczyć dzienniki oraz ustalić z dostawcą stan wykonywania kopii i możliwości odtwarzania.
• Wznawiać integracje zgodnie z aktualnymi instrukcjami producenta.

Komentarz SecurHUB

Dostęp aplikacyjny wymaga osobnego nadzoru, ponieważ może działać bez interaktywnego logowania pracownika. Obsługa incydentów powinna obejmować ustalenie wszystkich pozostawionych sposobów dostępu oraz zabezpieczenie materiału do analizy.

Źródła: ConnectWise, Huntress.