هفت هویت اپلیکیشنی غیرفعال شد؛ سرقت اعتبارنامه یک اپ، دروازه ورود به محیط‌های مشتریان

شرکت کانکت‌وایز (ConnectWise) اعلام کرده در ادامه بررسی یک حادثه امنیتی، هفت هویت اپلیکیشنی (Application Identity) خود را غیرفعال کرده است. در این حادثه، عوامل تهدید ناشناس به هویت‌های اپلیکیشنی این شرکت دسترسی غیرمجاز پیدا کرده و تننت‌های Microsoft 365 را به خطر انداخته‌اند.

---

چه اقداماتی انجام شده است؟

کانکت‌وایز اعلام کرده این اقدام را در تاریخ ۱۷ اکتبر ۲۰۲۶ ساعت ۰۷:۰۰ به وقت جهانی انجام داده و در همین راستا، سرویس Cloud Backup را با ابطال گواهی‌های مورد استفاده در اتصالات اپلیکیشنی آسیب‌دیده، برای تمام کاربران تعلیق کرده است. این شرکت هم‌چنین به‌عنوان اقدام احتیاطی، سرویس‌های SaaS Security و Cloud Management را موقتاً آفلاین کرده تا بررسی خود را کامل کند.

فهرست هویت‌های اپلیکیشنی غیرفعال‌شده

• ConnectWise Cloud Backup — 506e08f9-6e9a-4da4-942b-a099a03644ae
• ConnectWise Cloud Management — 2399d300-6fca-4e6a-a686-399fefe75b83
• ConnectWise Cloud Management - MS Teams — 24205314-2b89-4e07-a2a4-579e898a5640
• ConnectWise Cloud Management - Exchange Online — b78f6a77-d4e5-46fb-87e5-d1648bd02519
• ConnectWise Cloud Management - MS Graph — 0de14c77-b9b0-4137-9360-34878a929827
• ConnectWise Cloud Management - Partner Center — 412dcf96-176d-4b3a-a1b0-4981ad66971e
• ConnectWise Cloud Management - SharePoint Online — b2b55f5b-7758-4719-8d8f-88ae172e6bdb

محدودیت‌های این اقدام

کانکت‌وایز تصریح کرده غیرفعال‌سازی این اتصالات، از احراز هویت‌های جدید از طریق آن‌ها جلوگیری می‌کند، اما تغییراتی را که پیش‌تر درون یک تننت اعمال شده، برنمی‌گرداند. اعتبارنامه‌های مشترک آسیب‌دیده Cloud Backup دیگر معتبر نیستند، ولی توکن‌های دسترسی که پیش‌تر صادر شده‌اند ممکن است تا زمان انقضا یا ابطال دیگر، قابل‌استفاده بمانند. هرگونه اعتبارنامه، مجوز یا دسترسی غیرمجاز که از طریق هویت‌های جداگانه ایجاد شده باشد، نیازمند بازبینی و اصلاح مستقل است.

در حال حاضر پشتیبان‌گیری‌های زمان‌بندی‌شده اجرا نمی‌شوند و دسترسی به آرشیوهای پشتیبان و قابلیت بازیابی، در دسترس نیست. با این حال، این شرکت تأکید کرده آرشیوهای موجود همچنان رمزنگاری‌شده، ایزوله و محفوظ هستند و شواهدی مبنی بر نفوذ یا دسترسی مهاجمان به آن‌ها وجود ندارد.

---

زمان‌بندی کشف حادثه

کانکت‌وایز می‌گوید این مشکل را در تاریخ ۱۴ اکتبر ۲۰۲۶ از طریق «پایش پیشرفته امنیت سایبری و دقت‌نظر» خود شناسایی کرده و اقدامات واکنش داخلی و خارجی را آغاز کرده است. به گفته این شرکت، پس از اجرای اقدامات کاهشی، فعالیت موفق تهدیدی در محیط‌های تحت پایش خود مشاهده نکرده است؛ هرچند تأکید می‌کند این یافته، وضعیت محیط‌های پایین‌دستِ مشتریان را — که به‌طور طراحی‌شده مستقیماً قابل مشاهده برای آن نیست — مشخص نمی‌کند.

در این مرحله، روشن نیست آیا یک آسیب‌پذیری محصولی در به‌خطر افتادن هویت‌های اپلیکیشنی نقش داشته است یا خیر. سازوکار دقیق افشای اعتبارنامه نیز موضوع یک تحلیل در حال انجام است.

---

چرا این حمله این‌قدر خطرناک است؟

این نوع حمله از آن جهت نگران‌کننده است که مهاجم با سوءاستفاده از اعتبارنامه خود اپلیکیشن، می‌تواند به محیط‌های Microsoft 365 مشتریان دسترسی پیدا کند، بدون این‌که لازم باشد رمز عبور هر مشتری را جداگانه بدزدد. مهاجم با استفاده از اعتبارنامه سرقت‌شده، به‌عنوان همان اپلیکیشن احراز هویت می‌کند و از Microsoft Entra ID بر اساس مجوزهای موجود آن اپ، توکن دسترسی درخواست می‌کند.

بسته به مجوزهای تخصیص‌یافته به اپلیکیشن، این امر می‌تواند دسترسی به سایر سرویس‌های مایکروسافت، از جمله صندوق‌های پستی، اسناد SharePoint، پیام‌های Teams و اطلاعات دایرکتوری را ممکن کند.

از آنجا که اپلیکیشن‌های کانکت‌وایز برای انجام وظایف پشتیبان‌گیری و مدیریت با مجوزهای گسترده فعالیت می‌کنند، سرقت اعتبارنامه به مهاجم اجازه می‌دهد خود را به‌عنوان اپلیکیشن معرفی کرده و دسترسی را گسترش دهد؛ برای نمونه با:

• افزودن آن به نقش Global Administrator
• افزودن رمزهای کلاینت (Client Secrets) به سایر اپلیکیشن‌های مورد اعتماد در تننت
• ساخت اپلیکیشن‌های جدید و اعطای مجوز به آن‌ها

این رمزهای کلاینت، راهی برای احراز هویت به‌عنوان همان اپلیکیشن و برقراری ماندگاری فراهم می‌کنند؛ یعنی حتی اگر اعتبارنامه اولیه به‌خطرافتاده بعداً ابطال شود، مهاجم هنوز راهی جایگزین برای بازگشت به محیط آلوده دارد.

---

یافته‌های Huntress: موج دوم تلاش‌های هدفمند

جان سمون (Jon Semon)، تحلیلگر ارشد عملیات امنیتی شرکت Huntress، می‌گوید آخرین ورود مخرب از آدرس اولیه در ۱۵ اکتبر ساعت ۰۸:۴۵ به وقت جهانی مشاهده شده و فعالیت دستی و هدفمند تا حدود ساعت ۱۴:۲۰ همان روز ادامه داشته است.

او توضیح می‌دهد کانکت‌وایز گفته دسترسی به Cloud Backup قطع شده و اگر چنین باشد، فعالیت از طریق آن سرویس باید متوقف شده باشد؛ اما اگر مهاجم توانسته باشد در تننت‌های مایکروسافت به اپلیکیشن‌ها اعتبارنامه اضافه کند، این اعتبارنامه‌ها به او اجازه می‌دهد دسترسی خود را حفظ کند و به‌عنوان آن اپلیکیشن عمل کند.

Huntress از ۱۵ اکتبر تاکنون فعالیت مخرب تازه‌ای شناسایی نکرده، اما شواهدی وجود ندارد که این توقف نتیجه افشای عمومی بوده باشد.

اپلیکیشن‌های Cloud Management هنوز فعال به نظر می‌رسند

به گفته سمون، این شرکت با اطمینان بالا ارزیابی می‌کند که مهاجم اپلیکیشن‌های ConnectWise Cloud Management مربوط به Exchange Online، Microsoft Teams و SharePoint را نیز هدف گرفته و سوءاستفاده از اپ Teams را در یک تننت تأیید کرده است. به نظر می‌رسد آن اپلیکیشن‌ها توسط کانکت‌وایز غیرفعال نشده‌اند و ممکن است فعالیت بیشتری از طریق آن‌ها رخ دهد؛ Huntress در حال بررسی فعال این موضوع است.

آمار نفوذ: نزدیک به ۱۰۰۰ تننت، ۳۰۰ ورود موفق

Huntress در مجموع نزدیک به ۱٬۰۰۰ تننت Entra را شناسایی کرده که فعالیت ورود از آدرس IP مرتبط با این فعالیت غیرمجاز در آن‌ها ثبت شده، که از این تعداد ۳۰۰ مورد موفق بوده است. با این حال، نبود Service Principal در برخی تننت‌ها مانع دسترسی مهاجم به آن‌ها شده است.

موج دوم: ۱۶ تننت در بخش‌های حساس

Huntress از «موج دوم تلاش‌های هدفمند» از آدرس IP زیر در ۱۵ اکتبر خبر داده است:

• 144.172.64[.]128

این تلاش‌ها، دامنه محدودی شامل ۱۶ تننت را هدف قرار داده بودند و ناموفق بودند. این تننت‌ها در حوزه‌های سیاست‌گذاری، امنیت ملی، تجارت و مواد معدنی حیاتی فعالیت می‌کنند.

برای این مجموعه هدف جدید:

• اسکن نخست: توکن‌های Graph مربوط به اپلیکیشن SkyKick را در ۱۵ اکتبر بین ساعت ۰۹:۲۵:۰۴ تا ۱۲:۳۵:۵۰ به وقت جهانی هدف گرفت.
• اسکن دوم: همان تننت‌ها را در همان تاریخ بین ۱۳:۵۴:۳۹ تا ۱۴:۲۰:۲۴ هدف گرفت؛ این اسکن ظاهراً دستی بود و Exchange Online، SharePoint Online، Teams، Azure Resource Manager، Entra و APIهای مدیریت Office 365 را هدف قرار می‌داد.

---

توصیه‌های امنیتی برای شرکای کانکت‌وایز

به شرکا توصیه شده اقدامات زیر را انجام دهند:

• هم تننت Microsoft 365 خودشان و هم تمام تننت‌های مشتریانی که مدیریت می‌کنند را بازبینی کنند، از جمله محیط‌هایی که اتصالات خاموش SkyKick دارند.
• وضعیت اتصالات اپلیکیشنی فهرست‌شده را بررسی کرده و اپلیکیشن‌های آسیب‌دیده را تا اطلاع ثانوی غیرفعال نگه دارند.
• ورودها (Sign-ins) را در تمام هویت‌ها از ۱۳ اکتبر ۲۰۲۶ تا اکنون، به‌ویژه برای فعالیت منشأگرفته از آدرس 144.172.64[.]128 بازبینی کنند.
• پیش از آغاز اقدامات مهار، رکوردهای ورود و ممیزی (Audit) موجود را حفظ کنند.
• احراز هویت اپلیکیشن و کاربر، اعتبارنامه‌های اپلیکیشن و اعتماد فدراسیون، نقش‌های دایرکتوری، مالکان، رضایت‌نامه‌های (Consent) اعطاشده و تغییرات اخیر سیاست‌ها را بازبینی کنند.
• فوروارد غیرمجاز صندوق پستی، قوانین صندوق ورودی یا حمل‌ونقل (Transport) و دسترسی تفویض‌شده به صندوق پستی را بررسی کنند.
• هر هویت دیگری که در جریان فعالیت مشکوک تغییر یافته یا مورد استفاده قرار گرفته را بررسی کنند.

کنترل‌های Entra که خسارت را محدود می‌کنند

Huntress می‌گوید چند کنترل در Entra می‌توانند در صورت سرقت اعتبارنامه یک اپلیکیشن، خسارت را کاهش دهند:

• سیاست‌های مدیریت اپلیکیشن (Application Management Policies): می‌توانند رمزهای کلاینت روی ثبت‌های اپ را محدود یا مسدود کنند و طول عمر اعتبارنامه‌ها را سقف‌گذاری کنند.
• محدودسازی نقش‌های مدیریتی: محدود کردن تعداد دارندگان نقش‌های Application Administrator و Cloud Application Administrator، تعداد افرادی که می‌توانند به اپلیکیشن‌ها اعتبارنامه اضافه کنند را کاهش می‌دهد.
• Conditional Access برای هویت‌های بار کاری (Workload Identities): نیازمند مجوز اضافی است و می‌تواند محل‌هایی را که یک اپلیکیشن اجازه ورود از آن‌ها را دارد، محدود کند.
• Microsoft Entra ID Protection: می‌تواند Service Principalهای پرریسک را علامت‌گذاری کند.

هیچ‌یک از این کنترل‌ها جایگزین بازبینی اعتبارنامه‌ها نیست، اما استفاده از یک رمز کاشته‌شده را دشوارتر یا شناسایی آن را آسان‌تر می‌کند.

---

چرا این حادثه اهمیت دارد؟

این رخداد نمونه‌ای از یک خطر ساختاری در اکوسیستم ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و ابزارهای مدیریتی چندمستأجره است: وقتی یک اپلیکیشن واحد با مجوزهای گسترده به ده‌ها یا صدها تننت مشتری متصل است، سرقت اعتبارنامه آن اپ، عملاً کلید ورود به تمام آن محیط‌ها را در اختیار مهاجم قرار می‌دهد. این الگو، مشابه حملات زنجیره تأمین است، اما در لایه هویت ابری.

ماهیت پایدار تهدید نیز نگران‌کننده است: حتی پس از غیرفعال‌سازی اتصالات، توکن‌های صادرشده و رمزهای کلاینت جدیدی که مهاجم احتمالاً به اپلیکیشن‌های دیگر اضافه کرده، می‌تواند دسترسی را زنده نگه دارد؛ بنابراین نمی‌توان صرفاً با قطع یک اتصال، به پایان حادثه اطمینان یافت.

تمرکز موج دوم بر تننت‌هایی در حوزه‌های سیاست‌گذاری، امنیت ملی، تجارت و مواد معدنی حیاتی، نشان می‌دهد دست‌کم بخشی از این عملیات، هدفمند و دارای انگیزه‌های فراتر از جرایم فرصت‌طلبانه است؛ هرچند هنوز هویت مهاجمان مشخص نشده است.

---

جمع‌بندی

تعلیق سرویس Cloud Backup و غیرفعال‌سازی هفت هویت اپلیکیشنی کانکت‌وایز، نشان می‌دهد این شرکت حادثه را جدی گرفته است؛ اما یافته‌های Huntress نشان می‌دهد دامنه تأثیر بالقوه — نزدیک به ۱۰۰۰ تننت و ۳۰۰ ورود موفق — گسترده است و اپلیکیشن‌های Cloud Management ممکن است هنوز فعال باشند. برای شرکای کانکت‌وایز و مشتریان آن‌ها، بازبینی دقیق تننت‌ها، حفظ لاگ‌ها پیش از مهار، و جست‌وجوی اعتبارنامه‌ها و مجوزهای کاشته‌شده، نه یک گزینه، بلکه ضرورتی فوری است؛ چراکه غیرفعال‌سازی اتصالات، تغییرات قبلی را پاک نمی‌کند.