Potrivit The Hacker News, cercetători de securitate cibernetică avertizează asupra unei campanii active în care actori necunoscuți exploatează o credențială Microsoft 365 compromise, aparținând serviciului ConnectWise Cloud Backup, pentru a accesa neautorizat mediile M365 ale clienților. Huntress a confirmat intruziuni neautorizate în 173 tenante de partener/client, folosind credențiala vendor compromise.
ConnectWise Cloud Backup, serviciu dedicat furnizorilor de servicii gestionate (MSP), dispune de permisiuni extinse pentru accesul la cutiile poștale, OneDrive, SharePoint, Teams și date de director. Atacatorul a folosit adresa IP 144.172.64[.]128 pe 15 octombrie pentru a obține tokeni Microsoft Graph, progresând prin tenante în ordine GUID, ceea ce sugerează utilizarea unui script cu o listă țintă. În cel puțin o tenantă de partener, un alt aplicativ ConnectWise s-a autoatribuit privilegii de Administrator Global și a adăugat credențiale la alte aplicații de încredere, extinzând riscul.
Ca răspuns, ConnectWise a închis accesul aplicației Cloud Backup. Utilizatorii sunt recomandați să dezactiveze aplicația până la confirmarea rotației tuturor credențialelor, să activeze logurile Microsoft Graph și să auditeze pentru credențiale noi adăugate din 13 octombrie 2026.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
