ConnectWise Pazartesi günü, Cloud Backup ile ilişkili uygulama kimliklerine yetkisiz erişime yol açan bir güvenlik olayına yanıt verirken düzeltme önlemleri aldığını duyurdu. Şirket, idari erişim korumalarını güçlendirdiğini, hesapları sıfırladığını ve uygulama kimlik bilgilerini değiştirdiğini belirtti.
Şirket, olayın ilk tespitinden üç gün sonra 17 Ekim 05.00 UTC'de azaltma çalışmalarını başlatmaya başladıktan bu yana aşağıdaki eylemleri tamamladığını söyledi.
Etkilenen uygulama bağlantılarını devre dışı bırakma ve Cloud Backup'ı askıya alma.
Cloud Backup ile entegre oldukları için önlem olarak SaaS Security ve Cloud Management'ı askıya alma.
Olay müdahalesi ve düzeltme için bağımsız üçüncü taraf uzmanların yardımını alma.
İdari erişim korumalarını geliştirme.
Ortakların kendi ve yönetilen müşteri ortamlarında potansiyel yetkisiz etkinliği araştırmalarına ve düzeltmelerine yardımcı olmak için teknik rehberlik yayınlama.
ConnectWise, izolasyon önlemlerinin etkinliğini doğruladığını söyledi ve izlediği ortamlarda başarılı bir tehdit faaliyeti görmediğini vurguladı. Cloud Backup ve önlem olarak askıya alınan SaaS Security ve Cloud Management dışında herhangi bir ConnectWise ürün ve hizmetinin etkilendiğine dair kanıt bulunmuyor.
"Bu gözlem, bireysel ortak veya müşteri Microsoft 365 kiracılarının etkilenip etkilenmediğini ortaya koymaz," dedi. "Potansiyel olarak etkilenen her kiracının incelenmesi esastır."
"Değişiklik yapmadan önce ilgili kanıtları koruyun, bulguları doğrulayın ve olası operasyonel etkileri değerlendirin. Bu adımları tamamlamak, bir kiracının etkilenmediği veya tüm yetkisiz erişimin ortadan kaldırıldığı garantisi vermez. ConnectWise resmi geri yükleme talimatlarını verene kadar etkilenen uygulamaları yeniden bağlamayın."
Huntress, etkinlikle bağlantılı olarak gözlemlenen aşağıdaki IP adreslerini paylaştı ve bunların bazılarıyla bağlantılı parola püskürtme ve başarısız giriş denemelerinin uygulama oturum açma etkinliğiyle ilgili olma olasılığının düşük olduğunu ekledi.
144.172.64.128 - Satıcı kimlik bilgisiyle uygulama oturum açmaları (birincil vektör)
144.172.64.99 - Başarısız kullanıcı parola püskürtmesi, yoğunlaşmış (10 Ekim - 14 Ekim 2026)
144.172.64.60 - Birkaç başarısız kullanıcı girişi (18 Ekim 2026)
144.172.94.243 - Birçok kuruluşa karşı devam eden geniş başarısız giriş püskürtmesi
"ConnectWise uygulamalarına sahip 10.000'den fazla kiracıda uygulama oturum açmalarının incelenmesinde (bu günlükleri görebildiğimiz yerlerde), 144.172.64.128 ve Microsoft dahili aralıkları uygulama oturum açma etkinliği üreten tek adreslerdir," diye güncellemede Huntress araştırmacıları belirtti.
"Aşağıda listelenen diğer adreslerin hiçbirinden uygulama oturum açma etkinliği görmedik, bunların hepsi 144.172.64.128 ile aynı sağlayıcı aralığında (AS14956, RouterHosting). Bazılarından parola püskürtme ve başarısız giriş denemeleri gördük."
Siber güvenlik şirketi, aynı işleyiş biçimini takip eden ikinci bir kiracıda olay sonrası eylemler de gözlemlediğini söyledi; burada uygulama kendine Global Administrator yetkisi verdi ve kalıcılık için kiracıdaki diğer birkaç uygulamada yeni bir gizli anahtar ekledi.
Erişim Microsoft Graph dizin okumaları için kullanılmış olabilirken, saldırganların bunu posta kutusu veya dosya manipülasyonu için ya da kullanıcı veya politika değişiklikleri yapmak için kullandığına dair işaret yok.
"İncelediğimiz iki kiracıda arka kapı yapılacak uygulamaların seçimi rastgele görünüyor," diye ekledi Huntress. "İki tehlikeye uğramış kiracı arasında, aynı yetki akışı tamamen farklı iki uygulama kümesi seçti. İşaret edebileceğimiz tek tutarlı kriter yapısal: kimlik bilgileri, bu uygulamaların aslında ne yapabildiği gözetilmeksizin, etkilenen kiracı içinde kayıtlı uygulamalara yerleştirildi."
