ConnectWise reset thông tin đăng nhập sau sự cố bảo mật nghiêm trọng trên Cloud Backup

ConnectWise vừa thông báo về việc triển khai các biện pháp khắc phục sự cố bảo mật liên quan đến dịch vụ Cloud Backup của hãng. Sự cố này đã dẫn đến việc các đối tượng tấn công có được quyền truy cập trái phép vào các định danh ứng dụng (application identities) liên quan đến hệ thống sao lưu trên cloud.

Kể từ khi phát hiện sự cố vào ngày 14/10, ConnectWise đã bắt đầu các biện pháp giảm thiểu rủi ro từ ngày 17/10. Các hành động cụ thể bao gồm:

• Vô hiệu hóa các kết nối ứng dụng bị ảnh hưởng và tạm dừng dịch vụ Cloud Backup.
• Tạm dừng các dịch vụ SaaS Security và Cloud Management do có sự tích hợp chặt chẽ với Cloud Backup.
• Phối hợp cùng các chuyên gia an ninh mạng độc lập để ứng phó và xử lý sự cố.
• Tăng cường các lớp bảo vệ cho quyền truy cập quản trị (administrative-access).
• Cung cấp hướng dẫn kỹ thuật cho các đối tác để kiểm tra và khắc phục các hoạt động bất thường trong môi trường của họ.

Phía ConnectWise khẳng định họ đang kiểm chứng hiệu quả của các biện pháp ngăn chặn và nhấn mạnh rằng chưa ghi nhận hoạt động tấn công thành công nào trong các môi trường mà hãng đang giám sát. Hiện tại, ngoại trừ Cloud Backup và các dịch vụ bị tạm dừng để phòng ngừa, các sản phẩm khác của ConnectWise vẫn hoạt động bình thường.

Các nhà nghiên cứu từ Huntress đã chia sẻ danh sách các địa chỉ IP liên quan đến hoạt động đáng ngờ này, bao gồm 144.172.64[.]128 – địa chỉ được xác định là vector chính cho các hoạt động đăng nhập ứng dụng. Huntress cũng lưu ý rằng kẻ tấn công đã thực hiện các hành vi sau khi xâm nhập (post-compromise) bằng cách tự cấp quyền ‘Global Administrator’ cho ứng dụng và tạo thêm các secret mới để duy trì quyền truy cập (persistence).

ConnectWise khuyến cáo các đối tác và khách hàng cần thận trọng, kiểm tra kỹ các tenant Microsoft 365 của mình. Hãng nhấn mạnh: “Đừng kết nối lại các ứng dụng bị ảnh hưởng cho đến khi có hướng dẫn khôi phục chính thức từ ConnectWise. Hãy bảo lưu bằng chứng và đánh giá tác động trước khi thực hiện bất kỳ thay đổi nào.”

Nguồn tham khảo: The Hacker News