ConnectWise ระงับบริการคลาวด์ชั่วคราว หลังพบการโจมตี Microsoft 365

ConnectWise กำลังเร่งกู้คืนบริการ Cloud Backup, SaaS Security และ Cloud Management หลังจากพบว่าแฮกเกอร์ใช้ข้อมูลระบุตัวตน (credential) ที่ถูกเจาะเข้าถึง (compromised) เพื่อลักลอบเข้าใช้งาน Microsoft 365 tenants ของลูกค้า

บริษัทได้สั่งระงับบริการ Cloud Backup (เดิมชื่อ SkyKick) เมื่อวันที่ 17 ตุลาคมที่ผ่านมา หลังจากเริ่มตรวจสอบพบกิจกรรมที่น่าสงสัยเพียง 12 ชั่วโมง โดยระบุว่าพบการเข้าถึงโดยไม่ได้รับอนุญาตในส่วนของ application identities ภายในสภาพแวดล้อมระบบ เพื่อความปลอดภัยของพาร์ทเนอร์และลูกค้า จึงจำเป็นต้องปิดการเข้าถึงแอปพลิเคชันดังกล่าวชั่วคราว ตามที่บริษัท กล่าว

ในวันถัดมา ConnectWise ตัดสินใจปิดบริการ SaaS Security และ Cloud Management เพิ่มเติมเพื่อจำกัดความเสียหาย อย่างไรก็ตาม บริษัทยืนยันว่าข้อมูลสำรองของลูกค้ายังคงได้รับการเข้ารหัสและคุ้มครองอย่างปลอดภัย โดยยังไม่พบหลักฐานว่ามีการเข้าถึงข้อมูลเหล่านั้นโดยไม่ได้รับอนุญาต

มาตรการควบคุมดังกล่าวส่งผลกระทบต่อการสำรองข้อมูลตามกำหนดการ การเข้าถึงคลังข้อมูล การกู้คืนข้อมูล รวมถึงระบบเฝ้าระวังของ SaaS Security และการจัดการไลเซนส์ใน Cloud Management ซึ่งปัจจุบันทาง ConnectWise ยังไม่ได้ระบุเวลาที่จะกลับมาเปิดให้บริการตามปกติได้เมื่อใด

เบื้องต้นบริษัทได้ แบ่งปันข้อมูล เกี่ยวกับหมายเลข IP addresses ที่ผู้ไม่หวังดีใช้ในการบุกรุก พร้อมเผยแพร่ คำแนะนำ ด้านเทคนิคเพื่อให้ MSPs ใช้ตรวจสอบสภาพแวดล้อม Microsoft 365 ของตนเอง

ข้อมูลจากบริษัทความปลอดภัยไซเบอร์ Huntress พบว่าข้อมูลระบุตัวตนของ Cloud Backup ที่ถูกเจาะนั้น ถูกนำไปใช้เข้าถึง Microsoft 365 tenants ตั้งแต่วันที่ 15 ตุลาคม โดยพบการล็อกอินเข้าสู่ระบบของลูกค้าถึง 162 รายการในช่วงวันที่ 15-16 ตุลาคม

ทาง Huntress ระบุว่าหลักฐานการยืนยันตัวตนมีความชัดเจนเนื่องจากมาจากบันทึกการล็อกอิน (sign-in logs) ของ Microsoft โดยตรง และข้อมูลระบุตัวตนประเภท client assertion นี้มีต้นทางมาจากฝั่งผู้ให้บริการเอง ซึ่งลูกค้าไม่สามารถสร้างขึ้นเองในสภาพแวดล้อมของตนได้

จากการตรวจสอบพบว่า IP address ที่ใช้โจมตีเป็นชุดเดียวกันกับที่เคยใช้ทำ password spraying ต่อสำนักงานกฎหมาย 4 แห่งในช่วงก่อนหน้า นอกจากนี้ยังพบความพยายามยกระดับสิทธิ์ในระบบของลูกค้ารายหนึ่ง โดยมีการใช้แอป ConnectWise Cloud Management เพิ่มบทบาทเป็น Global Administrator และรันสคริปต์ Python เพื่อสร้าง client secrets ใหม่ในแอปพลิเคชันการจัดการ

ภายในวันที่ 17 ตุลาคม มีรายงานการพบกิจกรรมการล็อกอินจาก IP ของผู้โจมตีใน Entra tenants เกือบทั่วโลกเกือบ 1,000 แห่ง และมีการล็อกอินสำเร็จมากกว่า 300 ครั้ง ซึ่ง Huntress เชื่อมั่นว่าแอปพลิเคชัน Exchange Online, MS Teams และ SharePoint Online ของ ConnectWise ได้รับผลกระทบด้วยเช่นกัน

Kasper Lindgaard จาก CoreView ให้ความเห็นว่า แม้ ConnectWise จะหยุดการโจมตีได้แล้ว แต่ธุรกิจต่างๆ ยังมีภาระหนักในการตรวจสอบว่าผู้โจมตีได้แอบปรับตั้งค่าหรือสร้างช่องทางเข้าถึงถาวร (persistence) ทิ้งไว้หรือไม่ พร้อมเตือนว่าการกู้คืนอาจทำได้ยากหากผู้ดูแลระบบเข้าใจผิดว่า Microsoft สำรองข้อมูลการตั้งค่าเหล่านี้ให้โดยอัตโนมัติ