Ele geçirilen ConnectWise backup secret'ı saldırganlara 300'den fazla Microsoft 365 tenant'ına erişim sağladı

Ne oldu

Eskiden SkyKick adıyla satılan-hosted backup servisi ConnectWise Cloud Backup'a ait bir secret ele geçirildi ve yedekleme uygulamasının kendisi olarak müşteri Microsoft 365 tenant'larında kimlik doğrulaması için kullanıldı. ConnectWise, Cloud Backup ortamındaki uygulama kimliklerine yetkisiz erişim tespit ettiğini, partnerler ve müşteriler için uygulama erişimini kapattığını ve saklanan partner yedek verilerinin alındığına dair bir bulguya rastlamadığını bildirdi. 15 Ekim 2026'da başlayan yetkisiz kimlik doğrulama denemelerini doğrulayan Microsoft, bu faaliyeti aktif bir supply-chain saldırısı olarak nitelendirdi.

Müşteri ortamlarını izleyen Huntress, girişleri meşru Cloud Backup uygulamasına atfetti ve 16 Ekim saat 19:00 UTC itibarıyla 162 tenant'ta yetkisiz girişler olduğunu doğruladı. Ertesi gün yayımladığı güncelleme ölçeği büyüttü: saldırganın adresinden yaklaşık 1.000 Entra tenant'ında oturum açma etkinliği kaydedilmişti ve bu denemelerden 300'ünden fazlası başarılı olmuştu. The Hacker News aynı gün 173 etkilenen tenant bildirdi. İki hesap da kimlik doğrulamayı 144.172.64.128 adresine bağlıyor; Huntress bu adresi, 13 ve 14 Ekim'de curl, python-urllib ve python-requests user agent'ları kullanılarak gerçekleştirilen scriptli giriş denemeleriyle ilişkilendirdi.

Yöneticiler sorunu kamuya açıklanmadan önce gördü. Bir Reddit kullanıcısı, 15 Ekim'de aldığı bir Privileged Identity Management bildiriminde, SkyKick service principal'ının uygulamayı yıllardır kullanmayan bir tenant'ta kendisine Exchange Administrator rolü atadığını bildirdi.

Erişim nasıl genişledi

Saldırı, yedekleme uygulamasının normalde dokunması gerekenlerin ötesine geçti. Huntress, Exchange Online, Teams ve Microsoft Graph'ı kapsayan ConnectWise Cloud Management uygulamalarına ait service principal'ların, izlediği yaklaşık elli tenant'ta kendilerine çoğunlukla Exchange Administrator olmak üzere directory rolleri atadığını bildirdi. Bir partner tenant'ında Cloud Management - MS Teams uygulaması kendisine Global Administrator yetkisi verdi; ardından bir Python script'i iki farklı uygulamaya credential ekleyen dokuz değişiklik yaptı (altısı başarılı) ve yeni secret'ların son kullanma tarihi 2028 olarak ayarlandı.

Müdahale ekipleri saldırganların ne kadar ileri gittiği konusunda hemfikir değil. Dokuz tenant'ı inceleyen Todyl yalnızca oturum açma etkinliği gördü; yedekleme uygulaması üzerinden oluşturulmuş hesap, değiştirilmiş parola veya kalıcılık yoktu. Microsoft ise bunun aksine, başarılı service principal kimlik doğrulamasının ardından bir backdoor, Microsoft Graph keşif etkinliği ve ek credential ekleme denemeleri gözlemledi.

Çok faktörlü kimlik doğrulama neden uygulanmadı

Çok faktörlü kimlik doğrulaması bir kişiyi doğrular ve burada kimlik doğrulayan bir kişi yoktu. Todyl'ye göre istekler yalnızca uygulamaya (app-only) aitti, dolayısıyla MFA ve diğer kullanıcı odaklı korumalar hiç tetiklenmedi. Etkileşimli girişler için yazılmış conditional access politikaları — örneğin yöneticiler için uyumlu cihaz gereksinimi — uygulama token'larına da uygulanmaz.

Gerisini, yöneticilerin zaten vermiş olduğu izinler yaptı. Microsoft'un tehdit istihbaratı, dizin genelinde yazma izni olan Directory.ReadWrite.All'ın muhtemelen kötüye kullanılan izinlerden biri olduğunu değerlendirdi; bu erişim, bir yedekleme servisinin e-posta ve dosyaları kopyalaması için gerekenin çok ötesinde.

Etkilenen tenant'lar için müdahale adımları

Huntress'ın rehberi çalışmayı üç bölüme ayırıyor:

• İki uygulama ID'sini hemen devre dışı bırakın: Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae) ve Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) — ve süresince diğer Cloud Management uygulamalarını da devre dışı bırakmayı değerlendirin.

• Silmek yerine devre dışı bırakın. Bir uygulamayı silmek onayını (consent) da kaldırır; servisi geri yüklemek için onay sürecini yeniden yaşamak gerekir. Devre dışı bırakmak ise yedeklemeleri duraklatır ama saklanan yedekleri yerinde bırakır.

• Her enterprise application üzerindeki her credential'ı denetleyin. Devre dışı bırakmak yeni kullanımı durdurur ama saldırganın zaten eklediği credential'ları kaldırmaz; eklenen bu secret'lar bulunup iptal edilene kadar geçerli kalır.

Neden önemli

Bir Microsoft 365 tenant'ına eklenen her satıcı uygulaması — yedekleme, izleme, ticketing veya İK için olsun — aynı özelliği taşır: satıcının secret'ı, müşterinin ortamına açılan uzun ömürlü bir anahtardır ve müşterinin buna dair tek görünümü enterprise applications listesindeki bir satırdır. Bu olay, tek bir satıcı tarafı ihlalinin patlama yarıçapının aynı anda yüzlerce tenant'a nasıl yayıldığını gösteriyor — MFA'nın ve etkileşimli conditional access'in hiç dokunmadığı bir yoldan. Çıkarılacak pratik ders rahatsız edici ama basit: hangi uygulamaların hangi izinlere sahip olduğunu envanterin ve secret'larını, satıcı tarafının er ya da geç ihlal edileceğini varsayan bir takvimde döndürün.