حمله سایبری به ConnectWise؛ تعلیق سرویس پشتیبان‌گیری ابری پس از سوءاستفاده از دسترسی Microsoft 365
شرکت آمریکایی ConnectWise با یک رخداد امنیتی مواجه شده است که در جریان آن، مهاجمان ناشناس با سوءاستفاده از اطلاعات دسترسی یکی از برنامه‌های این شرکت، توانسته‌اند به حساب‌های Microsoft 365 برخی سازمان‌ها دسترسی غیرمجاز پیدا کنند. مهاجمان از یک اعتبارنامه به‌خطر افتاده (Compromised Credentials) متعلق به برنامه ConnectWise Cloud Backup استفاده کرده‌اند؛ سرویسی که پیش‌تر با نام SkyKick شناخته می‌شد.
در پی این حادثه ConnectWise سرویس پشتیبان‌گیری ابری خود را به‌طور موقت متوقف کرد. دو سرویس دیگر این شرکت، یعنی SaaS Security برای پایش و ارسال هشدارهای امنیتی و Cloud Management برای مدیریت کاربران و مجوزها نیز به دلیل یکپارچگی با Cloud Backup به حالت تعلیق درآمدند. بنا بر گزارش‌های منتشرشده، بررسی ابعاد این رخداد با کمک متخصصان خدمات امنیت شبکه همچنان ادامه دارد. برای توضیح ابعاد حمله سایبری به ConnectWise با فالنیک همراه باشید.
سرویس Cloud Backup چگونه کار می‌کند؟
شرکت ConnectWise بخش عمده محصولات خود را به ارائه‌دهندگان خدمات مدیریت‌شده (MSP) عرضه می‌کند. این شرکت‌ها خدمات فناوری اطلاعات را به‌صورت برون‌سپاری‌شده در اختیار کسب‌وکارهای کوچک و متوسط قرار می‌دهند و مسئول مدیریت بخشی از زیرساخت‌های فناوری آن‌ها هستند. ConnectWise اعلام کرده است که بیش از ۱۰۰ هزار ارائه‌دهنده خدمات از پلتفرم این شرکت استفاده می‌کنند و هر یک از آن‌ها ممکن است مسئول مدیریت زیرساخت فناوری ده‌ها یا صدها سازمان مشتری باشند.
سرویس Cloud Backup که ConnectWise در سال ۲۰۲۴ از طریق خرید شرکت SkyKick به دست آورد، یکی از ابزارهایی است که این ارائه‌دهندگان برای محافظت از اطلاعات مشتریان خود استفاده می‌کنند. این سرویس از داده‌هایی مانند ایمیل‌ها، فایل‌های OneDrive و SharePoint و گفت‌وگوهای Microsoft Teams نسخه پشتیبان تهیه می‌کند تا در صورت حذف تصادفی اطلاعات یا وقوع حمله باج‌افزاری، امکان بازیابی آن‌ها فراهم باشد.
برای انجام این کار، مدیر هر سازمان باید از طریق Microsoft Entra ID، سامانه مدیریت هویت و دسترسی مایکروسافت، مجوزهای لازم را به برنامه پشتیبان‌گیری اعطا کند. در نهایت برنامه مذکور به‌صورت یک هویت برنامه‌ای (Application Identity) که با نام «Service Principal» نیز شناخته می‌شود، در محیط Microsoft 365 آن سازمان ثبت می‌شود. این هویت می‌تواند بدون نیاز به ورود مستقیم یک کاربر، با استفاده از مجوزهای اعطاشده به داده‌های سازمان دسترسی پیدا کند و آن‌ها را بخواند یا تغییر دهد.
شرکت امنیت سایبری Huntress اعلام کرده است که اعتبارنامه به‌خطر افتاده در این حادثه در تمام سازمان‌هایی که این برنامه را برای دسترسی به محیط Microsoft 365 خود مجاز کرده بودند، قابل استفاده بوده است. بنابراین، هر فردی که به این اعتبارنامه دسترسی داشت، می‌توانست با هویت سرویس پشتیبان‌گیری وارد حساب‌های مرتبط شود و از مجوزهایی استفاده کند که مشتریان پیش‌تر به برنامه داده بودند.
به این ترتیب، به خطر افتادن یک اعتبارنامه در شرکت ارائه‌دهنده سرویس می‌توانست سازمان‌های متعددی را که از طریق ارائه‌دهندگان خدمات مختلف به این پلتفرم متصل بودند، در معرض خطر قرار دهد. مایکروسافت نیز این حادثه را در دسته حملات زنجیره تأمین (Supply Chain Attack) توصیف کرده است.
بررسی‌های Huntress چه چیزی را نشان می‌دهد؟
شرکت Huntress که در زمینه شناسایی و پایش تهدیدهای سایبری علیه کسب‌وکارهای کوچک و متوسط فعالیت می‌کند، دسترسی غیرمجاز به دست‌کم ۱۶۲ محیط سازمانی Microsoft 365 را تأیید کرده است.
بر اساس گزارش این شرکت، مهاجمان در ۱۵ اکتبر، بین ساعت ۰۶:۱۳ تا ۰۸:۳۴ به وقت هماهنگ جهانی (UTC)، از اعتبارنامه سرقت‌شده برای ورود به حساب‌ها با هویت برنامه پشتیبان‌گیری استفاده کرده‌اند. این فعالیت‌ها از نشانی IP برابر با 144.172.64[.]128 انجام شده است؛ نشانی‌ای که به یک ارائه‌دهنده خدمات میزبانی تعلق دارد، نه زیرساخت ابری مایکروسافت که برنامه به طور معمول از آن استفاده می‌کند.
همین نشانی IP در روزهای ۱۳ و ۱۴ اکتبر نیز برای تلاش جهت حدس‌زدن گذرواژه‌های چهار شرکت حقوقی به کار رفته بود؛ تلاش‌هایی که موفقیت‌آمیز نبودند. پژوهشگران مشاهده کردند که ورودها به حساب‌های مشتریان با فاصله چند ثانیه از یکدیگر و به ترتیبی ثابت انجام شده‌اند. این الگو نشان می‌دهد که احتمالاً یک اسکریپت خودکار، فهرستی از سازمان‌های هدف را به‌ترتیب بررسی کرده است.
شناسایی تغییرات مشکوک در سطح دسترسی مدیران
Huntress همچنین مشاهده کرده است که برخی برنامه‌های دیگر ConnectWise، متعلق به محصول Cloud Management، در حدود ۵۰ سازمان تحت پایش این شرکت برای خود نقش‌های مدیریتی ایجاد کرده‌اند. بیشتر این نقش‌ها به سطح دسترسی مدیر Exchange مربوط بوده‌اند. امضای نرم‌افزاری ثبت‌شده در این رویدادها با امضای برنامه‌های رسمی ConnectWise مطابقت داشته است. این موضوع احتمال دخالت سازوکارهای خودکار خود شرکت را مطرح می‌کند، اما ConnectWise هنوز این مسئله را تأیید نکرده است.
البته لازم به ذکر است که در یک مورد شواهدی روشن‌تر از فعالیت مخرب مشاهده شد. چند ساعت پیش از موج اصلی حملات، برنامه ConnectWise Cloud Management مربوط به Microsoft Teams برای خود نقش مدیر کل (Global Administrator) ایجاد کرد. حدود پنج دقیقه بعد، دو اعتبارنامه جدید به دو برنامه مورد اعتماد دیگر در همان حساب اضافه شد: یک برنامه مدیریتی متعلق به ارائه‌دهنده خدمات و برنامه Huntress Security Platform. این اعتبارنامه‌ها به‌گونه‌ای تنظیم شده بودند که تا سال ۲۰۲۸ معتبر باقی بمانند. در آخر فردی که آن‌ها را ایجاد کرده بود می‌توانست حتی پس از غیرفعال شدن برنامه‌های ConnectWise، راهی برای دسترسی مجدد به حساب داشته باشد.
احتمال گسترده‌تر بودن دامنه حمله
بررسی‌ها نشان می‌دهند که فعالیت مهاجمان احتمالاً به مواردی که دسترسی غیرمجاز آن‌ها تأیید شده است، محدود نبوده است. Huntress نزدیک به ۱۰۰۰ حساب Microsoft 365 را شناسایی کرده که از نشانی IP مهاجمان برای ورود به آن‌ها تلاش شده است؛ بیش از ۳۰۰ مورد از این تلاش‌ها موفق بوده‌اند. این فعالیت‌ها از شبکه ابری داخلی مایکروسافت انجام شده‌اند، نه از نشانی IP ارائه‌دهنده خدمات میزبانی که در موج اصلی حمله مشاهده شد. البته Huntress هنوز نتوانسته است تأیید کند که عامل هر دو دسته فعالیت یکسان بوده است.
در موج دیگری از فعالیت‌های هدفمند در همان روز، همان نشانی IP تلاش کرد به ۱۶ سازمان فعال در حوزه‌های سیاست‌گذاری، امنیت ملی، تجارت و مواد معدنی راهبردی دسترسی پیدا کند. بیشتر این سازمان‌ها از محصولات ConnectWise استفاده نمی‌کردند. در گزارش فنی Huntress دریاره این حادثه، پژوهشگران توضیح داده‌اند که در سازمان‌هایی که هویت برنامه‌ای مرتبط با سرویس ConnectWise در آن‌ها وجود نداشت، تلاش‌ها ناموفق بوده‌اند؛ زیرا برنامه‌ای برای اعطای دسترسی در آن محیط ثبت نشده بود. این الگو نشان می‌دهد که مهاجمان احتمالاً فهرستی از سازمان‌های مشخص را برای نفوذ احتمالی در اختیار داشته‌اند.
اگرچه هنوز مشخص نیست مهاجمان به طور دقیق چه اطلاعاتی را به دست آورده‌اند یا آیا داده‌ای از محیط‌های آسیب‌دیده خارج شده است. در یکی از حساب‌هایی که Huntress با جزئیات بررسی کرده، نشانه‌ای از دسترسی به ایمیل‌ها یا فایل‌ها پیدا نشده است. البته این شرکت هشدار داده که مایکروسافت برخی انواع دسترسی برنامه‌ها به داده‌ها را در گزارش‌های خود ثبت نمی‌کند؛ بنابراین نبود این شواهد به‌تنهایی برای رد قطعی دسترسی به اطلاعات کافی نیست.
واکنش ConnectWise به حمله سایبری
ConnectWise اعلام کرده است که در ۱۵ اکتبر از این مشکل مطلع شده و پس از آن، یک شرکت مستقل متخصص در بررسی جرم‌شناسی دیجیتال را برای پیگیری حادثه به کار گرفته است. این شرکت در ۱۷ اکتبر هفت هویت برنامه‌ای خود را غیرفعال کرد. این موارد شامل برنامه پشتیبان‌گیری، محصول Cloud Management و پنج برنامه دیگر متعلق به ConnectWise بودند. همچنین گواهی‌های مورداستفاده برای این ارتباط‌ها لغو و اعتبارنامه‌های مشترک Cloud Backup بی‌اعتبار شدند.
با وجود این اقدامات، ConnectWise هشدار داده است که توکن‌های دسترسی صادرشده پیش از غیرفعال‌سازی ممکن است تا زمان انقضا همچنان قابل استفاده باشند. همچنین غیرفعال کردن برنامه‌ها الزاماً تغییراتی را که مهاجمان پیش‌تر در حساب مشتریان ایجاد کرده‌اند، از بین نمی‌برد.
ConnectWise همچنین یک راهنمای فنی برای ارائه‌دهندگان خدمات منتشر کرده است تا بتوانند حساب‌های Microsoft 365 خود و تمام حساب‌های مشتریانی را که مدیریت می‌کنند، بررسی کنند. راهنمای بررسی حادثه ConnectWise شامل بررسی وضعیت برنامه‌های آسیب‌دیده، سوابق ورود و ثبت رویدادها، اعتبارنامه‌ها، مجوزها، نقش‌های مدیریتی و مسیرهای احتمالی دسترسی مجدد است. تغییرات پنهان در تنظیمات صندوق‌های ایمیل و احتمال به‌خطر افتادن هویت‌های دیگر نیز از مواردی هستند که باید بررسی شوند.
به گفته ConnectWise، این شرکت نمی‌تواند تمام بررسی‌ها را از طرف مشتریان انجام دهد؛ زیرا سرویس آن به همه جزئیات محیط‌های داخلی مشتریان دسترسی ندارد. به همین دلیل، از شرکای تجاری و توزیع‌کنندگان نیز خواسته شده است که این راهنما را به مدیران واقعی حساب‌های مشتریان برسانند.
Huntress نیز توصیه‌های مشابهی ارائه کرده است: برنامه‌های ConnectWise باید بدون حذف کامل آن‌ها غیرفعال شوند، تمام برنامه‌های ثبت‌شده در حساب از نظر اعتبارنامه‌های اضافه‌شده از ۱۳ اکتبر به بعد بررسی شوند و گزارش‌های ورود هویت‌های برنامه‌ای مورد ارزیابی قرار گیرند. برای این کار، باید گزارش‌های ورود Service Principal بررسی شوند، نه صرفاً نمای پیش‌فرض ورود کاربران.
ConnectWise اعلام کرده است که نسخه‌های پشتیبان ذخیره‌شده همچنان رمزگذاری‌شده و از سایر بخش‌ها جدا نگهداری می‌شوند و تاکنون شواهدی مبنی بر دسترسی مهاجمان به این آرشیوها به دست نیامده است. البته توقف سرویس پیامدهای عملیاتی مهمی برای مشتریان داشته است. طبق آخرین وضعیت اعلام‌شده در ۱۹ اکتبر ۲۰۲۶، سرویس‌های Cloud Backup، SaaS Security و Cloud Management همچنان به حالت تعلیق درآمده بودند.
در این شرایط، اجرای نسخه‌های پشتیبان زمان‌بندی‌شده متوقف شده و مشتریان امکان بازیابی اطلاعات از طریق این سرویس را ندارند. ConnectWise نیز اعلام کرده است که هنوز نمی‌تواند زمان مشخصی برای بازگشت سرویس‌ها به وضعیت عادی اعلام کند. پرسش‌های مهمی درباره ریشه حادثه همچنان بی‌پاسخ مانده‌اند. از جمله اینکه آیا یک آسیب‌پذیری در محصولات شرکت در وقوع این حادثه نقش داشته است یا خیر و اعتبارنامه اولیه چگونه در اختیار مهاجمان قرار گرفته است.
ConnectWise اعلام کرده است که هویت‌های برنامه‌ای به‌خطر افتاده شناسایی شده‌اند، اما تاکنون مشخص نشده است که یک آسیب‌پذیری در محصول عامل این حادثه بوده باشد. بررسی نحوه افشای اولیه اعتبارنامه‌ها همچنان ادامه دارد.
اهمیت پشتیبان‌گیری امن و آمادگی برای بازیابی اطلاعات
این حادثه نشان می‌دهد که حتی سرویس‌های پشتیبان‌گیری ابری نیز ممکن است با رخدادهای امنیتی یا اختلال‌های عملیاتی مواجه شوند. به همین دلیل سازمان‌ها باید علاوه بر انتخاب راهکار مناسب بکاپ، دسترسی برنامه‌های متصل به محیط Microsoft 365 را به‌دقت مدیریت، رویدادهای امنیتی را پایش و فرایند بازیابی اطلاعات را به‌صورت دوره‌ای آزمایش کنند.
همچنین داشتن برنامه‌ای برای مواجهه با شرایطی که اطلاعات در اثر خرابی سخت‌افزار، آسیب به تجهیزات ذخیره‌سازی یا حوادث دیگر از دسترس خارج می‌شوند، می‌تواند به کاهش پیامدهای عملیاتی کمک کند. در چنین شرایطی استفاده از خدمات بازیابی اطلاعات فالنیک می‌تواند برای بازیابی اطلاعات سرورها و تجهیزات ذخیره‌سازی، راهکار نجات‌بخشی باشد.
