ConnectWise Cumartesi günü, bilinmeyen tehdit aktörlerinin uygulama kimliklerine yetkisiz erişim elde edip Microsoft 365 kiracılarını tehlikeye attığı olayla ilgili soruşturmasını sürdürürken yedi uygulama kimliğini devre dışı bıraktığını açıkladı.
Devre dışı bırakılan kimlikler aşağıda listelenmiştir.
ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83
ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640
ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519
ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827
ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e
ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb
Bilgisayar yönetimi yazılımı sağlayıcısı, 17 Ekim 2026 tarihinde saat 07:00 UTC’de bu adımı attığını belirtti ve etkilenen uygulama bağlantıları için kullanılan sertifikaları iptal ederek tüm kullanıcılar genelinde Cloud Backup hizmetini de askıya aldığını ekledi.
"Etkilenen bağlantıların devre dışı bırakılması, bu bağlantılar üzerinden yeni kimlik doğrulamayı engeller; kiracı içinde daha önce yapılmış değişiklikleri geri almaz" dedi.
"Etkilenen paylaşılan Cloud Backup kimlik bilgileri artık geçerli değil. Daha önce verilmiş erişim belirteçleri süresi dolana veya başka şekilde geçersiz kılınana kadar kullanılabilir durumda kalabilir. Ayrı kimlikler üzerinden oluşturulmuş yetkisiz kimlik bilgileri, izinler veya diğer erişimler ek inceleme ve düzeltme gerektirir."
ConnectWise ayrıca planlı yedeklemelerin çalışmadığını ve etkilenen yedek arşivlerine erişimin ile geri yükleme yeteneklerinin kullanılamadığını kaydetti. Bununla birlikte mevcut arşivlerin şifrelenmiş, izole ve korunmuş olduğunu ve saldırganlar tarafından ihlal edildiğine veya erişildiğine dair bir kanıt bulunmadığını vurguladı.
İhtiyat amacıyla şirket, olayın incelemesi tamamlanana kadar SaaS Güvenlik ve Bulut Yönetimi hizmetini geçici olarak çevrimdışı aldığını söyledi.
Şirket ayrıca sorunun 14 Ekim 2026 tarihinde "gelişmiş siber güvenlik izleme ve özen" yoluyla tespit edildiğini açıkladı ve bu durumun iç ve dış olay araştırma ve müdahale çalışmalarının başlatılmasına yol açtığını belirtti.
"Bu azaltmaları uygulamaya koyduğumuzdan beri, izlediğimiz ortamlarda başarılı tehdit faaliyeti gözlemlemedik" dedi. "Bu bulgu, tasarım gereği doğrudan gözlemleyemediğimiz alt akış müşteri ortamlarının durumunu ortaya koymaz."
Bu aşamada, uygulama kimliklerinin tehlikeye girmesine bir ürün açığının katkıda bulunup bulunmadığı net değil. Kimlik bilgisi ifşasının tam mekanizması devam eden bir analiz konusudur, ConnectWise ekledi.
Saldırı özellikle tehlikelidir çünkü saldırganın her müşterinin şifresini tek tek çalmadan müşterilerin Microsoft 365 ortamlarına erişmesine olanak tanır. Çalınan uygulama kimlik bilgisini kullanarak o uygulama olarak kimlik doğrulaması yapan saldırgan, uygulamanın mevcut izinlerine dayalı olarak Microsoft Entra ID’den erişim belirteçleri talep edebilir.
Uygulamaya atanmış izinlere bağlı olarak bu durum, saldırganın posta kutuları, SharePoint belgeleri, Teams mesajları ve dizin bilgileri de dahil olmak üzere diğer Microsoft hizmetlerine erişmesini sağlayabilir.
Yedekleme ve yönetim görevlerini yerine getirmek için geniş izinlerle çalışan ConnectWise uygulamaları nedeniyle, kimlik bilgisinin çalınması tehdit aktörünün uygulama olarak kimlik doğrulaması yapmasına ve Global Administrator rolüne ekleyerek, kiracıdaki diğer güvenilen uygulamalara istemci sırları ekleyerek ve yeni uygulamalar oluşturup onlara izin vererek erişimini genişletmesine olanak tanır.
Bunu yaparak, istemci sırları o uygulama olarak kimlik doğrulaması yapmak ve kalıcılık sağlamak için bir yol sunar; bu da orijinal tehlikeye uğramış kimlik bilgisi daha sonra iptal edilse bile tehlikeye uğramış ortama yeniden erişim sağlamak için alternatif bir yöntem oluşturur.
İkinci Hedefli Dalga Gözlemlendi
"Orijinal adresten gelen kötü niyetli oturum açmaları son olarak 15 Ekim’de 08:45 UTC’de gözlemledik, hedefli manuel faaliyet o gün yaklaşık 14:20 UTC’ye kadar devam etti" diyen Huntress’te Baş Güvenlik Operasyonları Analisti Jon Semon, The Hacker News’e konuştu.
"ConnectWise Cloud Backup’a erişimin kapatıldığını söyledi ve öyleyse bu hizmet üzerinden faaliyet durmuş olmalı. Ancak tehdit aktörü Microsoft kiracılarındaki uygulamalara kimlik bilgileri ekleyebildiyse, bu kimlik bilgileri onların erişimi sürdürmesine ve uygulama gibi davranmasına izin verir."
Huntress, 15 Ekim’den bu yana yeni kötü niyetli faaliyet tespit etmediğini ancak duruşun kamuoyuna açıklamanın sonucu olduğuna dair bir kanıt olmadığını söyledi.
"Tehdit aktörünün ConnectWise Cloud Management uygulamalarını Exchange Online, Microsoft Teams ve SharePoint için de hedeflediğine yüksek güvenle sahibiz ve bir kiracıda Teams uygulamasının kötüye kullanılmasını doğruladık" diyen Semon, "Bu uygulamaların ConnectWise tarafından devre dışı bırakılmış gibi görünmediğini, dolayısıyla onlardan ek faaliyet gelebileceğini ve aktif olarak soruşturma yürüttüğümüzü" kaydetti.
Cumartesi akşamı itibarıyla Huntress, 15 Ekim’de IP adresi "144.172.64[.]128"ten gelen "ikinci, hedefli bir girişim dalgası" tespit ettiğini söyledi. Dar kapsamlı 16 kiracıyı hedef alan bu çabalar başarısız oldu. Kiracılar politika, ulusal güvenlik, ticaret ve kritik mineral sektörlerinde yer alıyor.
"Yeni hedef kümesi için ilk tarama, SkyKick uygulamasından Graph belirteçlerini hedef aldı ve 15 Ekim’de 09:25:04 ile 12:35:50 UTC arasında gerçekleşti" diyen Huntress, "İkinci tarama aynı kiracıları aynı tarihte 13:54:39 ile 14:20:24 UTC arasında vurdu. Bu tarama manuel görünüyordu ve Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra ve Office 365 Yönetim API’lerini hedef aldı."
Toplamda yönetilen güvenlik hizmeti sağlayıcısı, söz konusu yetkisiz faaliyetle ilişkilendirilen IP adresinden oturum açma faaliyeti olan yaklaşık 1.000 Entra kiracısı tespit etti; bunların 300’ü başarılı oldu. Başarılı oturum açmasına rağmen, bazı kiracılarda hizmet ilkesinin bulunmaması tehdit aktörünün bu kiracılara erişim sağlamasını engellediği belirtildi.
Ortaklara aşağıdaki eylemlerin alınması tavsiye ediliyor.
Kendi Microsoft 365 kiracınızı ve her yönetilen müşteri kiracısını, hareketsiz SkyKick bağlantılarına sahip ortamlar da dahil olmak üzere gözden geçirin.
Listelenen uygulama bağlantılarının durumunu doğrulayın ve etkilenen uygulamaları yeni duyuruya kadar devre dışı bırakık tutun.
13 Ekim 2026 tarihinden güncel zamana kadar kimlikler genelinde oturum açmaları gözden geçirin; özellikle "144.172.64[.]128" IP adresinden kaynaklanan faaliyetlere odaklanın.
Kapsama adımlarını başlatmadan önce mevcut oturum açma ve denetim kayıtlarını koruyun.
Uygulama ve kullanıcı kimlik doğrulamasını, uygulama kimlik bilgilerini ve federasyon güvenlerini, dizin rollerini, sahiplerini, onay vermelerini ve son politika değişikliklerini gözden geçirin.
Yetkisiz posta kutusu yönlendirmelerini, gelen kutusu veya taşıma kurallarını ve yetki devredilmiş posta kutusu erişimini kontrol edin.
Şüpheli faaliyet sırasında değiştirilen veya kullanılan diğer kimlikleri araştırın.
"Bir uygulama kimlik bilgisi çalındığında Entra kontrolleri zararı sınırlıyor" diyen Huntress, "Uygulama yönetim politikaları uygulama kayıtlarında istemci sırlarını kısıtlayabilir veya engelleyebilir ve kimlik bilgisi ömürlerini sınırlayabilir. Uygulama Yöneticisi ve Bulut Uygulama Yöneticisi rollerini kimlerin elinde tuttuğunu sınırlamak, kimlerin uygulamalara kimlik bilgisi ekleyebileceğini azaltır."
"Ek lisans gerektiren iş yükü kimlikleri için Koşullu Erişim, bir uygulamanın nereden oturum açmasına izin verildiğini kısıtlayabilir ve Microsoft Entra ID Koruması riskli hizmet ilkelerini işaretleyebilir. Bunların hiçbiri kimlik bilgilerini gözden geçirmeyi değiştirmez, ancak ekilmiş bir sırrın kullanılmasını zorlaştırır veya tespit edilmesini kolaylaştırır."
