ConnectWise đặt lại mật khẩu sau sự cố bảo mật Cloud Backup
"ConnectWise experienced a security incident resulting in unauthorized access to application identities associated with Cloud Backup. They have reset credentials, disabled affected applications (including SaaS Security and Cloud Management), and are working with third-party specialists. The incident involved application sign-ins from specific IP addresses, with some observed post-compromise activity including granting Global Administrator privileges."
Sự cố xâm nhập ứng dụng và cấp quyền quản trị viên toàn cục cho phép kẻ tấn công truy cập vào dữ liệu nhạy cảm. Thiếu giám sát quyền truy cập là một yếu tố nguy cơ.
Việc tạm dừng Cloud Backup gây gián đoạn dịch vụ cho khách hàng. Các doanh nghiệp cần đánh giá rủi ro và kiểm tra hệ thống để đảm bảo an toàn dữ liệu.
ConnectWise đã đặt lại mật khẩu và tạm dừng Cloud Backup sau khi phát hiện truy cập trái phép vào ứng dụng. Họ cũng tạm dừng SaaS Security và Cloud Management để phòng ngừa. Sự cố bắt đầu ngày 17/10, ba ngày sau khi phát hiện các đăng nhập ứng dụng từ địa chỉ IP 144.172.64[.]128 và các dải IP nội bộ của Microsoft.
Điều này ảnh hưởng đến các đối tác và khách hàng sử dụng Cloud Backup. Huntress ghi nhận kẻ tấn công đã cấp quyền quản trị viên toàn cục cho ứng dụng, sau đó thêm bí mật vào một số ứng dụng khác trong tenant để duy trì quyền truy cập. Tuy nhiên, hiện tại chưa có dấu hiệu kẻ tấn công lợi dụng quyền truy cập để thao túng hộp thư, tệp tin hoặc thay đổi chính sách.
ConnectWise khuyến cáo các đối tác kiểm tra nhật ký và khắc phục sự cố, nhưng nhấn mạnh việc không kết nối lại các ứng dụng bị ảnh hưởng cho đến khi có hướng dẫn chính thức. Họ cũng cung cấp hướng dẫn kỹ thuật để hỗ trợ đối tác điều tra và khắc phục.
Theo Huntress, kẻ tấn công dường như chọn ứng dụng ngẫu nhiên để backdoor, miễn là ứng dụng đó được đăng ký trong tenant bị ảnh hưởng. Họ quan sát thấy hành vi tương tự trên hai tenant khác nhau, với các ứng dụng bị xâm nhập khác nhau.
Câu hỏi thường gặp
Sự cố này ảnh hưởng đến những dịch vụ nào của ConnectWise?
Cloud Backup, SaaS Security và Cloud Management bị ảnh hưởng trực tiếp. ConnectWise nhấn mạnh các dịch vụ khác chưa bị ảnh hưởng, nhưng khuyến cáo đối tác kiểm tra tenant của họ.
Địa chỉ IP nào liên quan đến sự cố này?
Địa chỉ IP 144.172.64[.]128 và các dải IP nội bộ của Microsoft được Huntress xác định là liên quan đến hoạt động đăng nhập ứng dụng trái phép.
ConnectWise đã thực hiện những biện pháp khắc phục nào?
ConnectWise đã đặt lại mật khẩu, tạm dừng Cloud Backup, SaaS Security và Cloud Management, đồng thời hợp tác với các chuyên gia bảo mật bên ngoài để điều tra và khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc giám sát liên tục các quyền truy cập ứng dụng, đặc biệt là quyền quản trị viên. Các doanh nghiệp Việt Nam sử dụng ConnectWise nên kiểm tra kỹ nhật ký hoạt động và đảm bảo tuân thủ các hướng dẫn bảo mật của ConnectWise. Hiện tại, nên chờ ConnectWise đưa ra hướng dẫn khôi phục chính thức trước khi kết nối lại các ứng dụng.