ConnectWise grijpt in na inbreuk op Microsoft 365-omgevingen
ConnectWise heeft zeven applicatie-identiteiten uitgeschakeld en diensten zoals Cloud Backup, SaaS Security en Cloud Management tijdelijk offline gehaald. Het bedrijf nam het besluit nadat kwaadwillenden ongeautoriseerde toegang verkregen tot deze identiteiten en gekoppelde Microsoft 365-omgevingen van klanten wisten te compromitteren.
Het probleem werd op 14 oktober ontdekt. Door misbruik van de applicatie-identiteiten konden aanvallers toegangscertificaten opvragen en toegang krijgen tot diensten zoals Exchange, Teams en SharePoint, zonder individuele gebruikerswachtwoorden te stelen.
Volgens cybersecuritybedrijf Huntress zijn er bij circa duizend Microsoft Entra-omgevingen inlogpogingen geregistreerd, waarvan er zo'n driehonderd slaagden. In een latere fase werd een gerichte, handmatige golf aanvalspogingen waargenomen op zestien organisaties in gevoelige sectoren.
ConnectWise benadrukt dat bestaande back-uparchieven versleuteld en geïsoleerd blijven, zonder aanwijzingen voor een inbreuk op die gegevens. Toch stopt het uitschakelen van de identiteiten eerder aangemaakte ongeautoriseerde toegangscodes of extra beheerdersrechten in klantomgevingen niet automatisch.
Partners en beheerders wordt geadviseerd hun Microsoft 365-omgevingen grondig te controleren op verdachte aanmeldingen, gewijzigde machtigingen en nieuw aangemaakte credentials, en de getroffen applicaties uitgeschakeld te laten tot nader bericht.
Meer over cybersecurity
Over Witold Kepinski
