Şirket, 16 Ekim'de yayımladığı duyuruda 15 Ekim'de Cloud Backup ortamındaki uygulama kimliklerine yetkisiz erişim saptadığını belirtti.
SaaS Security ve Cloud Management hizmetleri Cloud Backup ile entegre olduğu için bunlar da önlem amacıyla askıya alındı.
18 Ekim'de UTC 16.00 itibarıyla üç hizmet de kullanılamıyordu.
Kesinti nedeniyle son kullanıcılar verilerini yedekleyemiyor, arşivlere erişemiyor ve verileri geri yükleyemiyor.
ConnectWise güvenlik operasyonlarından sorumlu başkan yardımcısı Jason Ferguson'a göre mevcut arşivler şifreli, yalıtılmış ve korunmuş durumda; bu arşivlere yetkisiz erişim olduğuna dair bir bulgu yok.
Huntress'e göre ConnectWise Cloud Backup'a ait bir Microsoft 365 kimlik bilgisi (API gizli anahtarı) ele geçirildi ve müşterilerin M365 ortamlarına yetkisiz erişim için kullanılıyor.
Huntress, bir iş ortağının kiracı (tenant) ortamında Microsoft Teams için kullanılan bir ConnectWise Cloud Management uygulamasının kendisine Global Administrator yetkisi verdiğini ve diğer iki uygulamaya yeni kimlik bilgileri eklediğini, bunlardan birinin söz konusu iş ortağına özgü olduğunu bildirdi.
ConnectWise ise birkaç IP adresine ve üçüncü taraf uygulama entegrasyonlarına bağlı uzlaşma göstergeleri dışında çok az bilgi paylaştı; Exchange, Teams, SharePoint Online ve kendi ürünleriyle bazı entegrasyonları devre dışı bıraktı.
Şirket, saldırının kime atfedildiği konusunda konuşamayacağını, soruşturma ve düzeltme çalışmalarına odaklandığını söylüyor.
Huntress, etkilenen uygulamaların devre dışı bırakılmasının zaten eklenmiş kimlik bilgilerini kaldırmayacağını, bu nedenle kuruluşların tüm M365 uygulamalarındaki kimlik bilgilerini gözden geçirmesi gerektiğini uyarıyor. ConnectWise müşterilerden yönettikleri M365 ortamlarını kontrol etmelerini istedi; ancak bu yapılandırmalar üzerinde görünürlüğü yok ve MSP'lere güvenmek zorunda. MSP'lerin hangi platformları kullandıklarını açıklama yükümlülüğü bulunmadığından bazı son kullanıcı kuruluşlar ConnectWise'ın rolünden haberdar olmayabilir. The Register, MSP'lere hizmet veren sağlayıcıların sık hedef alındığını, çünkü tek bir ihlalin birçok iş ortağına ve onların müşterilerine yol açabildiğini belirtiyor; en kötü bilinen örnek olarak 2021'deki Kaseya saldırısını gösteriyor.