Με λίγα λόγια
- Άγνωστοι δράστες χρησιμοποίησαν παραβιασμένο ψηφιακό διαπιστευτήριο της εφαρμογής ConnectWise Cloud Backup, πρώην SkyKick, για να συνδεθούν χωρίς άδεια σε περιβάλλοντα Microsoft 365.
- Νεότερη ενημέρωση της Huntress αναφέρει δραστηριότητα σε σχεδόν 1.000 περιβάλλοντα Microsoft Entra, με περισσότερες από 300 επιτυχημένες συνδέσεις. Ο αρχικός αριθμός των επιβεβαιωμένων περιστατικών ήταν μικρότερος και αυξήθηκε καθώς προχωρούσε η έρευνα.
- Οι επιτιθέμενοι μπορούσαν δυνητικά να αποκτήσουν πρόσβαση σε email, αρχεία OneDrive και SharePoint, συνομιλίες Teams και εταιρικά δεδομένα καταλόγου, χωρίς να χρειάζεται να παραβιάσουν τους κωδικούς μεμονωμένων χρηστών.
Μια ενεργή κυβερνοεπίθεση εναντίον χρηστών του Microsoft 365 αναδεικνύει τον τεράστιο κίνδυνο που δημιουργείται όταν παραβιάζεται μια εφαρμογή με πρόσβαση σε πολλούς εταιρικούς πελάτες. Άγνωστοι δράστες απέκτησαν ένα έγκυρο διαπιστευτήριο της υπηρεσίας ConnectWise Cloud Backup και το χρησιμοποίησαν για να συνδεθούν σε περιβάλλοντα οργανισμών που είχαν ήδη εγκρίνει την εφαρμογή.
Η ConnectWise Cloud Backup, η οποία παλαιότερα ονομαζόταν SkyKick Backup, προσφέρει αντίγραφα ασφαλείας και αποκατάσταση δεδομένων για το Microsoft 365 και το Google Workspace. Για να λειτουργεί, χρειάζεται ευρείες άδειες πρόσβασης σε γραμματοκιβώτια, αρχεία, συνομιλίες και εταιρικούς καταλόγους. Οι χάκερ κληρονόμησαν αυτές τις άδειες μόλις παρουσιάστηκαν στο σύστημα ως η νόμιμη εφαρμογή.
Η επίθεση δεν βασίστηκε στην κλοπή των κωδικών των εργαζομένων και δεν απαιτούσε επιβεβαίωση σύνδεσης από κάποιον χρήστη. Οι δράστες συνδέονταν ως η ίδια η εφαρμογή, χρησιμοποιώντας τη νόμιμη ταυτότητα που είχε ήδη εγκριθεί από κάθε οργανισμό.
Πώς λειτουργούσε η επίθεση
Όταν μια επιχείρηση εγκαθιστά μια πολυχρηστική εφαρμογή στο Microsoft 365, ο διαχειριστής της εγκρίνει συγκεκριμένες άδειες. Η εφαρμογή αποδεικνύει την ταυτότητά της με ένα ψηφιακό μυστικό ή πιστοποιητικό που ελέγχει ο κατασκευαστής της. Το ίδιο διαπιστευτήριο μπορεί να χρησιμοποιείται σε κάθε εταιρικό περιβάλλον που έχει εγκρίνει την εφαρμογή.
Αν το διαπιστευτήριο αυτό κλαπεί, ο επιτιθέμενος δεν χρειάζεται να παραβιάσει ξεχωριστά κάθε οργανισμό. Μπορεί να ζητήσει από το Microsoft Entra ID ψηφιακά διακριτικά πρόσβασης και να λάβει τις άδειες που είχαν ήδη δοθεί στην εφαρμογή.
Στη συγκεκριμένη περίπτωση, οι δράστες χρησιμοποίησαν αυτοματοποιημένο εργαλείο και κινήθηκαν μέσα από μια ταξινομημένη λίστα στόχων. Οι αιτήσεις σύνδεσης πραγματοποιούνταν σε διαδοχικά εταιρικά περιβάλλοντα με διαφορά λίγων δευτερολέπτων ή λεπτών, γεγονός που δείχνει μαζική και προγραμματισμένη επιχείρηση.
Οι ύποπτες συνδέσεις της πρώτης περιόδου προήλθαν από τη διεύθυνση IP 144.172.64.128. Η νόμιμη υπηρεσία ConnectWise Cloud Backup συνδέεται κανονικά από ιδιωτικές διευθύνσεις μέσα στο νέφος της Microsoft, ενώ οι κακόβουλες αιτήσεις προέρχονταν από εμπορικό διακομιστή φιλοξενίας και χρησιμοποιούσαν εργαλεία Python.
Πόσοι οργανισμοί επηρεάστηκαν
Οι αριθμοί άλλαξαν καθώς προχωρούσε η έρευνα. Το αρχικό δημοσίευμα έκανε λόγο για 173 επιβεβαιωμένες μη εξουσιοδοτημένες συνδέσεις σε περιβάλλοντα συνεργατών και πελατών.
Σε νεότερη ενημέρωση στις 17 Οκτωβρίου 2026, η Huntress ανέφερε ότι εντόπισε δραστηριότητα από τη σχετική IP σε σχεδόν 1.000 περιβάλλοντα Microsoft Entra, με περισσότερες από 300 επιτυχημένες συνδέσεις. Ωστόσο, η επιτυχής αυθεντικοποίηση δεν σημαίνει απαραίτητα ότι οι δράστες απέκτησαν πλήρη πρόσβαση σε κάθε περίπτωση, καθώς σε ορισμένους οργανισμούς δεν υπήρχε εγκατεστημένη η απαιτούμενη εφαρμογή.
Η Huntress εντόπισε επίσης δεύτερο, πιο στοχευμένο κύμα εναντίον 16 οργανισμών στους τομείς της κρατικής πολιτικής, της εθνικής ασφάλειας, του εμπορίου και των κρίσιμων ορυκτών. Οι δράστες επιχείρησαν να ζητήσουν πρόσβαση σε υπηρεσίες όπως Exchange Online, SharePoint Online, Teams, Microsoft Entra και Azure Resource Manager.
Δεν είναι γνωστό πόσοι οργανισμοί υπέστησαν πραγματική κλοπή δεδομένων. Η απουσία σχετικών καταγραφών δεν αποκλείει την πρόσβαση, επειδή ορισμένες αναγνώσεις δεδομένων μέσω Microsoft Graph δεν αφήνουν πλήρες ίχνος στα συνηθισμένα αρχεία ελέγχου.
Τι μπορούσαν να δουν οι χάκερ
Η εφαρμογή αντιγράφων ασφαλείας διαθέτει ευρείες άδειες, επειδή πρέπει να διαβάζει και να επαναφέρει δεδομένα για λογαριασμό των πελατών της. Ένα κακόβουλο μέρος με έγκυρο διακριτικό μπορούσε δυνητικά να αποκτήσει πρόσβαση σε:
- εταιρικά email και συνημμένα αρχεία,
- αρχεία στο OneDrive,
- έγγραφα και τοποθεσίες SharePoint,
- συνομιλίες και δεδομένα του Teams,
- χρήστες, ομάδες και εφαρμογές του εταιρικού καταλόγου,
- δυνατότητες εγγραφής ή επαναφοράς δεδομένων, ανάλογα με τις άδειες του κάθε οργανισμού.
Η πρόσβαση δεν περιοριζόταν σε έναν συγκεκριμένο εργαζόμενο. Επειδή η εφαρμογή λειτουργούσε σε ολόκληρο το εταιρικό περιβάλλον, μπορούσε να φτάσει σε όλα τα γραμματοκιβώτια και στις τοποθεσίες που κάλυπταν οι ήδη εγκεκριμένες άδειές της.
Η Todyl δεν εντόπισε στους οργανισμούς που παρακολουθούσε δημιουργία νέων λογαριασμών, αλλαγές κωδικών ή εγκατάσταση πρόσθετου μηχανισμού παραμονής μέσω της εφαρμογής αντιγράφων ασφαλείας. Τόνισε, όμως, ότι οι περιορισμένες καταγραφές δεν επιτρέπουν να αποκλειστεί η ανάγνωση ή αντιγραφή δεδομένων.
Εφαρμογή απέκτησε μόνη της δικαιώματα Global Administrator
Σε τουλάχιστον ένα εταιρικό περιβάλλον, η κατάσταση έγινε ακόμη σοβαρότερη. Η εφαρμογή ConnectWise Cloud Management – MS Teams πρόσθεσε τον εαυτό της στον ρόλο του Global Administrator, αποκτώντας ένα από τα υψηλότερα επίπεδα πρόσβασης στο Microsoft 365.
Στη συνέχεια, ένα πρόγραμμα Python πρόσθεσε νέα ψηφιακά μυστικά σε δύο άλλες αξιόπιστες εφαρμογές, μία εφαρμογή διαχείρισης παρόχου υπηρεσιών και την ίδια την πλατφόρμα ασφαλείας της Huntress. Τα νέα διαπιστευτήρια είχαν διάρκεια μέχρι το 2028.
Με αυτόν τον τρόπο, οι δράστες μπορούσαν θεωρητικά να διατηρήσουν διαφορετικές διαδρομές πρόσβασης ακόμη και μετά την ακύρωση του αρχικού διαπιστευτηρίου της ConnectWise. Η απλή αλλαγή του παραβιασμένου μυστικού του προμηθευτή δεν αρκεί, αν έχουν ήδη προστεθεί νέα διαπιστευτήρια σε άλλες εφαρμογές.
Ο κίνδυνος είναι μεγαλύτερος για τους παρόχους διαχειριζόμενων υπηρεσιών, γνωστούς ως MSPs, επειδή οι εφαρμογές τους χρησιμοποιούνται συχνά για τη διαχείριση πολλών διαφορετικών πελατών. Μια παραβίαση στον κεντρικό πάροχο μπορεί να ανοίξει τον δρόμο προς δεκάδες ή εκατοντάδες συνδεδεμένους οργανισμούς.
Γιατί η πολυπαραγοντική ταυτοποίηση δεν σταμάτησε την επίθεση
Η πολυπαραγοντική ταυτοποίηση προστατεύει κυρίως ανθρώπινους λογαριασμούς. Στη συγκεκριμένη επίθεση, όμως, οι δράστες δεν συνδέθηκαν ως εργαζόμενοι. Συνδέθηκαν ως μια ήδη εγκεκριμένη εφαρμογή, χρησιμοποιώντας τη μέθοδο αυθεντικοποίησης που προβλέπεται για αυτοματοποιημένες υπηρεσίες.
Δεν υπήρχε χρήστης για να λάβει ειδοποίηση, να εισαγάγει κωδικό μίας χρήσης ή να απορρίψει τη σύνδεση. Επίσης, οι πολιτικές πρόσβασης που εφαρμόζονται σε ανθρώπινους λογαριασμούς δεν ενεργοποιούνται απαραίτητα για τις ταυτότητες εφαρμογών.
Η ανάκληση των συνεδριών των χρηστών επίσης δεν διακόπτει αυτή τη μορφή πρόσβασης. Η απενεργοποίηση της εφαρμογής σταματά την έκδοση νέων διακριτικών, αλλά όσα έχουν ήδη εκδοθεί μπορεί να παραμείνουν ενεργά για έως και 90 λεπτά.
Η απάντηση της ConnectWise
Η ConnectWise ανακοίνωσε στις 16 Οκτωβρίου 2026 ότι διερευνά προσπάθειες μη εξουσιοδοτημένης πρόσβασης που σχετίζονται με το περιβάλλον Cloud Backup. Ανέφερε ότι ενεργοποίησε τις διαδικασίες αντιμετώπισης περιστατικών και έλαβε μέτρα περιορισμού της απειλής.
Η εταιρεία δήλωσε ότι μέχρι στιγμής δεν έχει ενδείξεις πως αποκτήθηκε πρόσβαση στα αποθηκευμένα αντίγραφα ασφαλείας των συνεργατών της. Αυτό δεν αποκλείει πιθανή πρόσβαση στα ζωντανά δεδομένα του Microsoft 365 μέσω των αδειών της εφαρμογής, τα οποία αποτελούν το βασικό αντικείμενο των ερευνών της Huntress και της Todyl.
Η ConnectWise δημοσίευσε ως ενδείξεις της ύποπτης δραστηριότητας τη διεύθυνση 144.172.64.128 και τα αναγνωριστικά λογισμικού Python-urllib/3.12 και python-requests/2.31. Διευκρίνισε ότι η παρουσία αυτών των στοιχείων δεν αποδεικνύει από μόνη της παραβίαση.
Σύμφωνα με ενημέρωση της Huntress, η ConnectWise είχε απενεργοποιήσει τις σχετικές εφαρμογές μέχρι το απόγευμα της 17ης Οκτωβρίου. Η έρευνα, πάντως, παρέμενε ενεργή και οι οργανισμοί καλούνταν να ελέγξουν αν οι δράστες είχαν δημιουργήσει πρόσθετους μηχανισμούς πρόσβασης.
Τι πρέπει να κάνουν οι διαχειριστές Microsoft 365
Οι οργανισμοί που χρησιμοποιούν ConnectWise Cloud Backup ή παλαιότερες εφαρμογές SkyKick πρέπει να ενεργήσουν άμεσα, ακόμη και αν δεν βλέπουν προφανή σημάδια παραβίασης. Η απουσία καταγραφών δεν αποτελεί αξιόπιστη απόδειξη ότι δεν έγινε πρόσβαση σε δεδομένα.
Οι βασικές συστάσεις είναι:
- Απενεργοποίηση, όχι διαγραφή, της εφαρμογής ConnectWise Cloud Backup μέχρι να επιβεβαιωθεί ότι όλα τα διαπιστευτήρια έχουν αλλάξει. Η διαγραφή θα αφαιρέσει τη συγκατάθεση και θα δυσκολέψει την επαναφορά της υπηρεσίας.
- Έλεγχος όλων των εφαρμογών ConnectWise και SkyKick, ιδιαίτερα όσων σχετίζονται με Exchange Online, Teams, SharePoint, Microsoft Graph και Partner Center.
- Έλεγχος των συνδέσεων εφαρμογών στο Microsoft Entra Admin Center, από την καρτέλα Service principal sign-ins και όχι από τις συνηθισμένες συνδέσεις χρηστών.
- Αναζήτηση της IP
144.172.64.128και άλλων συνδέσεων που δεν προέρχονται από αναμενόμενα δίκτυα Microsoft ή Azure. - Έλεγχος για νέα ψηφιακά μυστικά και πιστοποιητικά που προστέθηκαν σε εταιρικές εφαρμογές από τις 13 Οκτωβρίου 2026 και μετά.
- Έλεγχος για μη αναμενόμενους διοικητικούς ρόλους, ιδιαίτερα Global Administrator και Exchange Administrator, που μπορεί να έχουν αποδοθεί σε εφαρμογές ConnectWise ή SkyKick.
Η απενεργοποίηση της εφαρμογής θα διακόψει προσωρινά τη δημιουργία νέων αντιγράφων ασφαλείας, αλλά δεν θα διαγράψει τα υπάρχοντα αντίγραφα ούτε θα επηρεάσει τη λειτουργία των email, των αρχείων και του Teams.
Το περιστατικό αποδεικνύει ότι μια αξιόπιστη εφαρμογή μπορεί να μετατραπεί σε κεντρική πύλη επίθεσης όταν κλαπεί η ψηφιακή της ταυτότητα. Οι χάκερ δεν χρειάστηκε να παραβιάσουν εκατοντάδες οργανισμούς έναν προς έναν. Χρησιμοποίησαν ένα διαπιστευτήριο που ήταν ήδη αποδεκτό παντού.
