اتخذت شركة ConnectWise سلسلة من الإجراءات الأمنية العاجلة، شملت إعادة تعيين الحسابات واستبدال بيانات الاعتماد الخاصة بالتطبيقات وتعزيز ضوابط الوصول الإداري، وذلك في إطار استجابتها المستمرة لحادث أمني أدى إلى وصول غير مصرح به إلى هويات تطبيقات مرتبطة بخدمة النسخ الاحتياطي السحابي Cloud Backup.
وتأتي هذه التطورات بعد أيام من إعلان الشركة تعليق عدد من خدماتها السحابية الاحترازية، في خطوة تعكس حجم المخاوف من استغلال المهاجمين لصلاحيات التطبيقات السحابية للوصول إلى بيئات العملاء، خصوصًا في بيئات Microsoft 365 التي أصبحت هدفًا متكررًا للهجمات القائمة على إساءة استخدام الهويات الرقمية والتطبيقات الموثوقة.
إجراءات احتواء واسعة وتعليق خدمات رئيسية
أوضحت ConnectWise أنها بدأت تنفيذ إجراءات التخفيف في 17 أكتوبر، أي بعد ثلاثة أيام من اكتشاف الحادثة، وشملت الخطوات الأولى تعطيل اتصالات التطبيقات المتأثرة وإيقاف خدمة Cloud Backup بصورة كاملة. كما قامت الشركة بتعليق خدمتي SaaS Security وCloud Management بشكل احترازي نظرًا لارتباطهما التقني بخدمة النسخ الاحتياطي السحابي.
وشملت التدابير كذلك الاستعانة بمتخصصين مستقلين في الاستجابة للحوادث والتحقيقات الجنائية الرقمية، فضلًا عن تطبيق ضوابط إضافية لحماية الوصول الإداري ونشر إرشادات تقنية للشركاء والعملاء لمساعدتهم في البحث عن أي نشاط غير مصرح به داخل بيئاتهم الخاصة.
وأكدت الشركة أنها تواصل التحقق من فعالية إجراءات الاحتواء التي تم تنفيذها، مشيرة إلى أنها لم ترصد حتى الآن نشاطًا تهديديًا ناجحًا داخل البيئات الخاضعة للمراقبة من جانبها. كما أوضحت أن التحقيقات الحالية لم تكشف عن تأثر أي من منتجات وخدمات الشركة الأخرى باستثناء Cloud Backup والخدمات التي تم تعليقها احترازيًا.
ورغم ذلك شددت الشركة على أن عدم رصد نشاط ضار في بنيتها التحتية لا يعني بالضرورة سلامة جميع بيئات العملاء، مؤكدة أن كل مؤسسة أو شريك يجب أن يجري مراجعة مستقلة ومفصلة لمستأجرات Microsoft 365 الخاصة به للتحقق من عدم حدوث اختراق أو إساءة استخدام للصلاحيات.
التحقيقات تكشف مؤشرات على نشاط داخل مستأجرات Microsoft 365
بحسب الشركة، فإن مراجعة كل مستأجر متأثر محتمل لا تزال خطوة أساسية، كما دعت العملاء إلى الحفاظ على الأدلة الرقمية قبل إجراء أي تعديلات قد تؤثر على التحقيقات أو عمليات التحليل الجنائي. وأكدت أيضًا أن تنفيذ إجراءات المعالجة لا يضمن بالضرورة إزالة جميع آثار الوصول غير المصرح به.
وفي هذا السياق، أوصت بعدم إعادة ربط التطبيقات المتضررة أو إعادة تشغيل الاتصالات الموقوفة حتى صدور تعليمات رسمية من الشركة بشأن استعادة الخدمات بشكل آمن.
وتعكس هذه التوصيات اتجاهًا متزايدًا في قطاع الأمن السيبراني نحو التعامل بحذر مع حوادث اختراق الهويات الرقمية، حيث يتمتع التطبيق المخترق غالبًا بصلاحيات واسعة داخل البيئات المؤسسية تسمح له بالوصول إلى البيانات والخدمات دون الحاجة إلى كلمات مرور المستخدمين التقليدية.
عناوين IP قيد المراقبة ومؤشرات الاختراق
نشرت شركة Huntress مجموعة من عناوين IP التي رُصدت مرتبطة بالنشاط المشبوه خلال التحقيقات، وأشارت إلى أن العنوان 144.172.64.128 يمثل المسار الأساسي المرتبط بعمليات تسجيل دخول التطبيقات باستخدام بيانات اعتماد مورّد تم الاستيلاء عليها.
كما رُصدت عناوين أخرى ارتبط بعضها بمحاولات رش كلمات المرور Password Spraying أو محاولات تسجيل دخول فاشلة استهدفت عددًا من المؤسسات خلال الفترة بين 10 و18 أكتوبر، إلا أن الباحثين أوضحوا أن هذه الأنشطة لا تبدو مرتبطة بصورة مباشرة بعمليات تسجيل دخول التطبيقات التي تشكل جوهر الحادث الحالي
وأشارت Huntress إلى أنها راجعت سجلات أكثر من 10 آلاف مستأجر يستخدمون تطبيقات ConnectWise، ولم تجد نشاط تسجيل دخول للتطبيقات سوى من العنوان 144.172.64.128 وبعض النطاقات الداخلية التابعة لمايكروسوفت، وهو ما يمنح المحققين رؤية أوضح حول مسار الهجوم الرئيسي.
المهاجمون حاولوا ترسيخ وجودهم داخل البيئات المستهدفة
كشفت التحقيقات كذلك عن رصد أنشطة ما بعد الاختراق داخل مستأجر ثانٍ، حيث اتبع المهاجمون النمط نفسه الذي تم توثيقه سابقًا. وتمثلت الخطوة الأبرز في منح التطبيق لنفسه صلاحيات Global Administrator، وهي من أعلى الصلاحيات الإدارية المتاحة داخل Microsoft 365.
وبعد الحصول على تلك الصلاحيات، قام التطبيق بإضافة أسرار رقمية جديدة إلى عدد محدود من التطبيقات الأخرى داخل البيئة المستهدفة، في محاولة لإنشاء آلية بقاء واستمرارية تتيح للمهاجم الاحتفاظ بحقوق الوصول حتى بعد اكتشاف النشاط الأصلي وإزالته.
ووفقًا لنتائج التحقيق الحالية، فمن المحتمل أن يكون الوصول قد استُخدم لقراءة بيانات الدليل عبر Microsoft Graph، لكن الباحثين لم يعثروا على أي دلائل تشير إلى استخدامه للتلاعب بصناديق البريد الإلكتروني أو الملفات أو إجراء تعديلات على حسابات المستخدمين أو السياسات الأمنية.
كما لفتت Huntress إلى أن اختيار التطبيقات التي تمت زراعة بيانات الاعتماد الخبيثة داخلها بدا عشوائيًا إلى حد كبير. ففي الحالتين اللتين تمت مراجعتهما، اختار المهاجم مجموعتين مختلفتين تمامًا من التطبيقات، دون وجود مؤشرات على استهداف تطبيقات بعينها أو صلاحيات محددة. العامل المشترك الوحيد كان أن جميع التطبيقات المختارة كانت مسجلة داخل المستأجر المستهدف، بغض النظر عن طبيعة وظائفها أو الامتيازات التي تمتلكها.
وتسلط هذه الواقعة الضوء على تصاعد مخاطر الهجمات المعتمدة على هويات التطبيقات والخدمات السحابية، وهي فئة من التهديدات أصبحت أكثر تعقيدًا من الهجمات التقليدية المعتمدة على سرقة كلمات المرور، نظرًا لقدرتها على استغلال الثقة الممنوحة للتطبيقات والاتصالات الآلية داخل البيئات المؤسسية. كما تؤكد أهمية المراقبة المستمرة لسجلات Microsoft 365، ومراجعة صلاحيات التطبيقات الدورية، وتطبيق مبدأ أقل الامتيازات، إلى جانب مراقبة أي تغييرات غير متوقعة في بيانات الاعتماد أو الامتيازات الإدارية.
الكلمات المفتاحية: ConnectWise، Cloud Backup، Microsoft 365، Huntress، ،، هويات التطبيقات، Global Administrator، Microsoft Graph، Incident Response، SaaS Security، Cloud Management، بيانات الاعتماد، الوصول غير المصرح به، الأمن السيبراني، مستأجرات Microsoft 365، Password Spraying، مؤشرات الاختراق،، التحقيقات الرقمية
