ConnectWise, kimliği belirsiz tehdit aktörlerinin uygulama kimliklerine yetkisiz erişim sağlayarak Microsoft 365 kiracılarını ele geçirmesi üzerine 7 ConnectWise uygulama kimliğini devre dışı bıraktığını ve Cloud Backup hizmetini askıya aldığını duyurdu. Şirket, 17 Ekim 2026 saat 07:00 UTC itibarıyla aldığı önlemler kapsamında etkilenen uygulama bağlantıları için kullanılan sertifikaları iptal ettiğini ve soruşturmanın devam ettiğini bildirdi.
IT yönetim yazılımı sağlayıcısı ConnectWise, olayı 14 Ekim 2026 tarihinde gelişmiş siber güvenlik izleme ve özeni sayesinde tespit ettiğini, ardından iç ve dış olay müdahale ve soruşturma eylemlerini başlattığını açıkladı. Şirket, hafifletici önlemleri uyguladığından bu yana izlediği ortamlarda başarılı bir tehdit faaliyeti gözlemlemediğini belirtirken, bu bulgunun tasarım gereği doğrudan gözlemleyemediği alt müşteri ortamlarının durumunu ortaya koymadığını vurguladı. Ürün zafiyetinin uygulama kimliklerinin ele geçirilmesine katkıda bulunup bulunmadığı ve kimlik bilgilerinin açığa çıkma mekanizmasının ise halen analiz edildiği kaydedildi.
Alınan önlemler nedeniyle zamanlanmış yedeklemelerin çalışmadığı, etkilenen yedek arşivlerine erişimin ve geri yükleme yeteneklerinin kullanılamadığı bildirildi. ConnectWise, mevcut arşivlerin şifreli, izole ve korunmuş durumda olduğunu, saldırganlar tarafından ihlal edildiğine veya erişildiğine dair bir kanıt bulunmadığını vurguladı. Şirket, tedbir amacıyla SaaS Security ve Cloud Management hizmetlerini de olay incelemesi tamamlanana kadar geçici olarak çevrimdışı aldığını duyurdu.
Uygulamaya atanan izinlere bağlı olarak bu durum, posta kutuları, SharePoint belgeleri, Teams mesajları ve dizin bilgileri dahil olmak üzere diğer Microsoft hizmetlerine erişime olanak tanıyabiliyor. ConnectWise uygulamaları yedekleme ve yönetim görevlerini yerine getirmek için geniş izinlerle çalıştığından, kimlik bilgisinin çalınması tehdit aktörünün kendisini uygulama olarak doğrulamasına ve erişimini genişletmesine imkan veriyor.
Bu genişletme yöntemleri arasında uygulamayı Global Administrator rolüne eklemek, kiracıdaki diğer güvenilir uygulamalara istemci gizli anahtarları eklemek ve yeni uygulamalar oluşturarak onlara izinler vermek bulunuyor. İstemci gizli anahtarları, o uygulama olarak kimlik doğrulamanın bir yolunu sunarak kalıcılık sağlıyor ve orijinal ele geçirilmiş kimlik bilgisi daha sonra iptal edilse bile saldırganın ele geçirilen ortama yeniden erişmesi için alternatif bir yol oluşturuyor.
Huntress, 15 Ekim'den bu yana yeni bir kötü amaçlı faaliyet tespit etmediğini, ancak durmanın kamuya açıklama sonucu olduğuna dair bir kanıt bulunmadığını bildirdi. Şirket, tehdit aktörünün Exchange Online, Microsoft Teams ve SharePoint için ConnectWise Cloud Management uygulamalarını da hedef aldığına dair yüksek güven duyduğunu ve bir kiracıda Teams uygulamasının kötüye kullanımını doğruladığını açıkladı. Semon, bu uygulamaların ConnectWise tarafından devre dışı bırakılmış gibi görünmediğini, bu nedenle onlardan ek faaliyet gelebileceğini ve aktif olarak soruşturma yürüttüklerini belirtti.
Cumartesi akşamı itibarıyla Huntress, 15 Ekim'de 144.172.64[.]128 IP adresinden gelen ikinci ve hedefli bir girişim dalgası tespit ettiğini duyurdu. Politika, ulusal güvenlik, ticaret ve kritik mineral sektörlerindeki dar kapsamlı 16 kiracıyı hedef alan bu girişimler başarısız oldu. Huntress'in aktardığına göre yeni hedef seti için ilk tarama 15 Ekim'de 09:25:04 ile 12:35:50 UTC arasında SkyKick uygulamasından Graph belirteçlerini hedef aldı. Aynı kiracılara yönelik ikinci tarama ise aynı gün 13:54:39 ile 14:20:24 UTC arasında gerçekleşti ve manuel görünümdeydi; Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra ve Office 365 Management API'lerini hedefledi.
Yönetilen güvenlik hizmeti sağlayıcısı Huntress, söz konusu IP adresiyle ilişkili yetkisiz faaliyetten kaynaklanan oturum açma faaliyeti olan yaklaşık 1.000 Entra kiracısı tespit ettiğini, bunlardan 300'ünde oturum açma işleminin başarılı olduğunu bildirdi. Başarılı oturum açmaya rağmen bazı kiracılarda hizmet sorumlusunun bulunmamasının tehdit aktörünün bu kiracılara erişmesini engellediği aktarıldı.
Ortakların 13 Ekim 2026 tarihinden mevcut zamana kadar olan oturum açma kayıtlarını, özellikle 144.172.64[.]128 IP adresinden kaynaklanan faaliyetler açısından gözden geçirmesi, kapsama adımlarını başlatmadan önce mevcut oturum açma ve denetim kayıtlarını koruması isteniyor. Ayrıca uygulama ve kullanıcı kimlik doğrulaması, uygulama kimlik bilgileri ve federasyon güvenleri, dizin rolleri, sahipler, onay izinleri ve son politika değişikliklerinin incelenmesi gerekiyor.
Öneriler arasında yetkisiz posta kutusu yönlendirme, gelen kutusu veya aktarım kuralları ve devredilmiş posta kutusu erişiminin kontrol edilmesi ile şüpheli faaliyet sırasında değiştirilen veya kullanılan diğer kimliklerin araştırılması da bulunuyor.
Huntress, bir uygulama kimlik bilgisi çalındığında hasarı sınırlayan çeşitli Entra kontrollerine de dikkat çekti. Buna göre uygulama yönetimi politikaları, uygulama kayıtlarındaki istemci gizli anahtarlarını kısıtlayabilir veya engelleyebilir ve kimlik bilgisi ömürlerini sınırlayabilir. Application Administrator ve Cloud Application Administrator rollerini elinde bulunduran kişi sayısını sınırlamak, uygulamalara kimlik bilgisi ekleyebilecek kişi sayısını azaltıyor. Ek lisanslama gerektiren iş yükü kimlikleri için Koşullu Erişim, bir uygulamanın nereden oturum açmasına izin verildiğini kısıtlayabilir ve Microsoft Entra ID Protection riskli hizmet sorumlularını işaretleyebilir. Huntress, bunların hiçbirinin kimlik bilgilerini gözden geçirmenin yerini tutmadığını, ancak eklenen bir gizli anahtarın kullanılmasını zorlaştırdığını veya tespit edilmesini kolaylaştırdığını belirtti.
IT yönetim yazılımı sağlayıcısı ConnectWise, olayı 14 Ekim 2026 tarihinde gelişmiş siber güvenlik izleme ve özeni sayesinde tespit ettiğini, ardından iç ve dış olay müdahale ve soruşturma eylemlerini başlattığını açıkladı. Şirket, hafifletici önlemleri uyguladığından bu yana izlediği ortamlarda başarılı bir tehdit faaliyeti gözlemlemediğini belirtirken, bu bulgunun tasarım gereği doğrudan gözlemleyemediği alt müşteri ortamlarının durumunu ortaya koymadığını vurguladı. Ürün zafiyetinin uygulama kimliklerinin ele geçirilmesine katkıda bulunup bulunmadığı ve kimlik bilgilerinin açığa çıkma mekanizmasının ise halen analiz edildiği kaydedildi.
7 Uygulama Kimliği Devre Dışı Bırakıldı ve Cloud Backup Askıya Alındı
ConnectWise, 17 Ekim 2026 Cumartesi günü yaptığı açıklamada, soruşturma devam ederken yedi uygulama kimliğini devre dışı bıraktığını duyurdu. Devre dışı bırakılan kimlikler şu şekilde listelendi:- ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
- ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83
- ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640
- ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519
- ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827
- ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e
- ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb
Alınan önlemler nedeniyle zamanlanmış yedeklemelerin çalışmadığı, etkilenen yedek arşivlerine erişimin ve geri yükleme yeteneklerinin kullanılamadığı bildirildi. ConnectWise, mevcut arşivlerin şifreli, izole ve korunmuş durumda olduğunu, saldırganlar tarafından ihlal edildiğine veya erişildiğine dair bir kanıt bulunmadığını vurguladı. Şirket, tedbir amacıyla SaaS Security ve Cloud Management hizmetlerini de olay incelemesi tamamlanana kadar geçici olarak çevrimdışı aldığını duyurdu.
Saldırının Çalışma Yöntemi ve Oluşturduğu Riskler
ConnectWise tarafından aktarılan bilgilere göre saldırı, özellikle tehlikeli bir yönteme dayanıyor. Saldırgan, çalınan uygulama kimlik bilgisini kötüye kullanarak her bir müşterinin parolasını tek tek çalmak zorunda kalmadan müşterilerin Microsoft 365 ortamlarına erişebiliyor. Çalınan uygulama kimlik bilgisiyle o uygulama gibi kimlik doğrulaması yapan saldırgan, Microsoft Entra ID'den uygulamanın mevcut izinlerine dayalı olarak erişim belirteçleri talep edebiliyor.Uygulamaya atanan izinlere bağlı olarak bu durum, posta kutuları, SharePoint belgeleri, Teams mesajları ve dizin bilgileri dahil olmak üzere diğer Microsoft hizmetlerine erişime olanak tanıyabiliyor. ConnectWise uygulamaları yedekleme ve yönetim görevlerini yerine getirmek için geniş izinlerle çalıştığından, kimlik bilgisinin çalınması tehdit aktörünün kendisini uygulama olarak doğrulamasına ve erişimini genişletmesine imkan veriyor.
Bu genişletme yöntemleri arasında uygulamayı Global Administrator rolüne eklemek, kiracıdaki diğer güvenilir uygulamalara istemci gizli anahtarları eklemek ve yeni uygulamalar oluşturarak onlara izinler vermek bulunuyor. İstemci gizli anahtarları, o uygulama olarak kimlik doğrulamanın bir yolunu sunarak kalıcılık sağlıyor ve orijinal ele geçirilmiş kimlik bilgisi daha sonra iptal edilse bile saldırganın ele geçirilen ortama yeniden erişmesi için alternatif bir yol oluşturuyor.
Huntress'in Tespitleri ve İkinci Hedefli Dalga
Huntress'ten Baş Güvenlik Operasyonları Analisti Jon Semon, The Hacker News'e yaptığı açıklamada, orijinal adresten gelen kötü amaçlı oturum açma işlemlerini en son 15 Ekim saat 08:45 UTC'de gözlemlediklerini, hedefli manuel faaliyetin ise o gün yaklaşık 14:20 UTC'ye kadar devam ettiğini söyledi. Semon, ConnectWise'in Cloud Backup erişiminin kapatıldığını belirtmesi halinde bu hizmet üzerinden faaliyetin durmuş olması gerektiğini, ancak tehdit aktörünün Microsoft kiracılarındaki uygulamalara kimlik bilgileri eklemeyi başarması durumunda bu kimlik bilgilerinin erişimi sürdürmesine ve uygulama gibi hareket etmesine olanak tanıyacağını ifade etti.Huntress, 15 Ekim'den bu yana yeni bir kötü amaçlı faaliyet tespit etmediğini, ancak durmanın kamuya açıklama sonucu olduğuna dair bir kanıt bulunmadığını bildirdi. Şirket, tehdit aktörünün Exchange Online, Microsoft Teams ve SharePoint için ConnectWise Cloud Management uygulamalarını da hedef aldığına dair yüksek güven duyduğunu ve bir kiracıda Teams uygulamasının kötüye kullanımını doğruladığını açıkladı. Semon, bu uygulamaların ConnectWise tarafından devre dışı bırakılmış gibi görünmediğini, bu nedenle onlardan ek faaliyet gelebileceğini ve aktif olarak soruşturma yürüttüklerini belirtti.
Cumartesi akşamı itibarıyla Huntress, 15 Ekim'de 144.172.64[.]128 IP adresinden gelen ikinci ve hedefli bir girişim dalgası tespit ettiğini duyurdu. Politika, ulusal güvenlik, ticaret ve kritik mineral sektörlerindeki dar kapsamlı 16 kiracıyı hedef alan bu girişimler başarısız oldu. Huntress'in aktardığına göre yeni hedef seti için ilk tarama 15 Ekim'de 09:25:04 ile 12:35:50 UTC arasında SkyKick uygulamasından Graph belirteçlerini hedef aldı. Aynı kiracılara yönelik ikinci tarama ise aynı gün 13:54:39 ile 14:20:24 UTC arasında gerçekleşti ve manuel görünümdeydi; Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra ve Office 365 Management API'lerini hedefledi.
Yönetilen güvenlik hizmeti sağlayıcısı Huntress, söz konusu IP adresiyle ilişkili yetkisiz faaliyetten kaynaklanan oturum açma faaliyeti olan yaklaşık 1.000 Entra kiracısı tespit ettiğini, bunlardan 300'ünde oturum açma işleminin başarılı olduğunu bildirdi. Başarılı oturum açmaya rağmen bazı kiracılarda hizmet sorumlusunun bulunmamasının tehdit aktörünün bu kiracılara erişmesini engellediği aktarıldı.
Önerilen İnceleme Adımları ve Entra Kontrolleri
Huntress ve ConnectWise, iş ortaklarına hem kendi Microsoft 365 kiracılarını hem de yönetilen her müşteri kiracısını, uyku durumundaki SkyKick bağlantıları olan ortamlar da dahil olmak üzere incelemelerini önerdi. Yapılması önerilen adımlar arasında listelenen uygulama bağlantılarının durumunu doğrulamak ve etkilenen uygulamaları bir sonraki duyuruya kadar devre dışı tutmak yer alıyor.Ortakların 13 Ekim 2026 tarihinden mevcut zamana kadar olan oturum açma kayıtlarını, özellikle 144.172.64[.]128 IP adresinden kaynaklanan faaliyetler açısından gözden geçirmesi, kapsama adımlarını başlatmadan önce mevcut oturum açma ve denetim kayıtlarını koruması isteniyor. Ayrıca uygulama ve kullanıcı kimlik doğrulaması, uygulama kimlik bilgileri ve federasyon güvenleri, dizin rolleri, sahipler, onay izinleri ve son politika değişikliklerinin incelenmesi gerekiyor.
Öneriler arasında yetkisiz posta kutusu yönlendirme, gelen kutusu veya aktarım kuralları ve devredilmiş posta kutusu erişiminin kontrol edilmesi ile şüpheli faaliyet sırasında değiştirilen veya kullanılan diğer kimliklerin araştırılması da bulunuyor.
Huntress, bir uygulama kimlik bilgisi çalındığında hasarı sınırlayan çeşitli Entra kontrollerine de dikkat çekti. Buna göre uygulama yönetimi politikaları, uygulama kayıtlarındaki istemci gizli anahtarlarını kısıtlayabilir veya engelleyebilir ve kimlik bilgisi ömürlerini sınırlayabilir. Application Administrator ve Cloud Application Administrator rollerini elinde bulunduran kişi sayısını sınırlamak, uygulamalara kimlik bilgisi ekleyebilecek kişi sayısını azaltıyor. Ek lisanslama gerektiren iş yükü kimlikleri için Koşullu Erişim, bir uygulamanın nereden oturum açmasına izin verildiğini kısıtlayabilir ve Microsoft Entra ID Protection riskli hizmet sorumlularını işaretleyebilir. Huntress, bunların hiçbirinin kimlik bilgilerini gözden geçirmenin yerini tutmadığını, ancak eklenen bir gizli anahtarın kullanılmasını zorlaştırdığını veya tespit edilmesini kolaylaştırdığını belirtti.
Siber Güvenlik
Siber Güvenlik
Siber Güvenlik
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.