یک شرکت به نام ConnectWise حین بررسی یک رخداد امنیتی اطلاع داده که نفوذگران به شناسه 7 برنامه این شرکت دسترسی غیرمجاز پیدا کردند و امنیت بعضی محیط Microsoft 365 به خطر بیفتد.
در تاریخ ۱۷ اکتبر ۲۰۲۶، شرکت هفت شناسه برنامه مرتبط با Cloud Backup، Cloud Management، Microsoft Teams، Exchange Online، Microsoft Graph، Partner Center و SharePoint Online را غیرفعال کردو سرویس Cloud Backup را به حالت تعلیق درآورد و سرویس های SaaS Security و Cloud Management را به صورت موقت از دسترس خارج کرد.
این اقدامات جلوی ورود دوباره نفوذگر از طریق اتصالهای غیرفعال شده را میگیرند، اما مجموعه تغییراتی را که قبلاً ایجاد کرده اند، برنمی گردانند. توکن های دسترسی قبلی هم امکان دارد تا زمان منقضی یا لغو شدن، همچنان قابل استفاده باشند.
پشتیبانگیری که خودکار اننجام می شد، متوقف شده و فعلاً نمیتوان نسخه های پشتیبانی که آسیب دیده اند، را بازیابی کرد. با این حال شرکت اطلاع داد که فایل های پشتیبانی که موجود هستند رمز گذاری شده اند و امنیت دارند و نشانه ای از نفوذ مهاجم به آن ها پیدا نشده.
نحوه عملکرد حمله
نفوذکننده ها با اطلاعات ورودی مربوط به یک برنامه که دزدیده اند میتواندد بدون اینکه رمز عبور تک به تک کاربران را داشته باشند به به محیط Microsoft 365 دسترسی پیدا کنند.
با توجه به اینکه مجوزهای برنامه چه باشند، این دسترسی امکان دارد شامل ایمیل ها، اسناد SharePoint، پیامهای Teams و اطلاعات دایرکتوری باشد. امکان دارد نفوذکننده ها با اضافه کردن اطلاعات ورود جدید یا ایجاد کردن برنامه های دیگر یا گرفتن مجوز مدیریتی دسترسی شان را حفظ کنند حتی اگر اطلاعاتی که موقع ورود اولیه میدهند،باطل شود.
و تاحالا مشخص نشده که آسیب پذیری یک محصول باعث این اتفاق شده یا مورد دیگر
موج دوم حملات
شرکت Huntress اعلام کرد که موج دیگری از تلاشهای باهدف از آدرس IP زیر شناسایی شده است:
“144.172.64[.]128”
این تلاشها ۱۶ محیط متعلق به بخشهای سیاست گذاری، امنیت ملی، تجارت و مواد معدنی حیاتی را مورد هدف قرار دادند، اما تلاش ها موفق نبوده اند.
در مجموع، تلاش برای ورود با این IP به حدود ۱۰۰۰ محیط Microsoft Entra شناسایی شد که تقریبا ۳۰۰ مورد از این ورودها موفق بودند. همچنین اخیرا تأیید شد که در یکی از محیطهای مربوط به مشتری، از برنامه Teams سوءاستفاده شده است.
اقدامات پیشنهادی
به شرکتها توصیه شده است:
- حتما محیط Microsoft 365 خودشان و مشتریانشان را بررسی کنند.
- حتما برنامههای آسیبدیده را به صورت غیرفعال نگه دارند.
- گزارش ورودها را از ۱۳ اکتبر ۲۰۲۶ به بعد، مخصوصا فعالیت های مرتبط با IP اعلام شده، بررسی کنند.
- گزارش ورود به حساب ها و فعالیتهای انجام شده را نگه دارند.
- مجوزها، اطلاعات مرتبط با ورود برنامه ها، دسترسی های مدیریتی و تغییرات مشکوک را مورد بررسی قرار دهند.
- انتقال ایمیل ها به صورت غیرمجاز و دسترسی های مشکوک به صندوق های پستی را بیابند
راهکارهای کاهش خطر
قابلیتهای امنیتی Microsoft Entra این امکان را دارند که خطر سوءاستفاده از اطلاعات ورود برنامه ها را کم کنند. از جمله این اقدامات میتوان به محدود کردن استفاده و زمان اعتبار Client Secret، کاهش تعداد مدیران برنامه ها و استفاده از قابلیت های Conditional Access و Microsoft Entra ID Protection برای کنترل دسترسی ها و شناسایی تهدیدها اشاره کرد.
لازم به ذکر است که این قابلیتها جای بررسی اطلاعات ورود را نمیگیرند، اما پیدا کردن و سوءاستفاده از دسترسی های غیرمجاز را سخت میکنند.