విశ్వసనీయ క్లౌడ్ అప్లికేషన్ దాడి మార్గంగా మారినప్పుడు

యజమాని అందించిన భావనాత్మక ఇలస్ట్రేషన్. ఇది ఎన్ని కస్టమర్ టెనెంట్‌లు ప్రభావితమయ్యాయో చూపదు, ఏ టెనెంట్ సంఖ్యనూ సూచించదు.

ConnectWise Cloud Backup కు సంబంధించిన October 2026 సంఘటన, ఉద్యోగుల ఖాతాలకు మించి విస్తరించే సెక్యూరిటీ ప్రమాదాన్ని బయటపెట్టింది. విశ్వసనీయ అప్లికేషన్‌లతో అనుబంధం ఉన్న క్రెడెన్షియల్స్‌ను ఉపయోగించి దాడి చేసినవారు Microsoft 365 కస్టమర్ వాతావరణాల్లో ఆథెంటికేట్ అయ్యారు, థర్డ్-పార్టీ అప్లికేషన్ ఐడెంటిటీలు సంస్థ సెక్యూరిటీ సరిహద్దులో భాగమని ఇది చూపిస్తుంది.

అప్లికేషన్ విశ్వసనీయమైనదే. దాని క్రెడెన్షియల్ కాదు.

సంస్థలు తమ Microsoft 365 వాతావరణాలను యాక్సెస్ చేయడానికి థర్డ్-పార్టీ అప్లికేషన్‌లకు క్రమం తప్పకుండా అనుమతి ఇస్తాయి. ఉదాహరణకు, క్లౌడ్ బ్యాకప్ సర్వీస్ Exchange Online, SharePoint, OneDrive, ఇతర సర్వీస్‌ల నుంచి సమాచారాన్ని తీసుకోవడానికి అనుమతి కావాలి. బ్యాకప్‌లు సృష్టించడానికి, రీస్టోరేషన్‌కు మద్దతు ఇవ్వడానికి ఆ యాక్సెస్‌ను అది వాడుతుంది.

ఏ ఉద్యోగీ సైన్ ఇన్ చేసి లేనప్పుడు కూడా బ్యాకప్ సర్వీస్ పనిచేయాలి. అందువల్ల ప్రతి షెడ్యూల్డ్ ఆపరేషన్‌ను ఒక వ్యక్తి ఆమోదించాలని కోరకుండా, సంస్థ అప్లికేషన్ ఐడెంటిటీకే అనుమతి ఇస్తుంది.

October 2026 లో, SkyKick గా పిలిచిన ConnectWise Cloud Backup కు సంబంధించిన సెక్యూరిటీ సంఘటనలో ఈ ఏర్పాటు కేంద్రబిందువైంది. తన క్లౌడ్ బ్యాకప్ వాతావరణంతో అనుబంధం ఉన్న అప్లికేషన్ ఐడెంటిటీలకు సంబంధించిన అనధికార యాక్సెస్‌ను ConnectWise ధ్రువీకరించింది. ఆ ఐడెంటిటీల ద్వారా Microsoft 365 కస్టమర్ టెనెంట్‌లపై దాడి చేసినవారు ఆథెంటికేట్ అవుతుండటాన్ని స్వతంత్ర సెక్యూరిటీ పరిశోధకులు గమనించారు.

October 15 నాడు, Microsoft Graph యాక్సెస్ టోకెన్‌లను పొందడానికి ConnectWise Cloud Backup అప్లికేషన్ ఐడెంటిటీని ఉపయోగించిన ఆటోమేటెడ్ ఆథెంటికేషన్ అభ్యర్థనలను Sophos X-Ops గుర్తించింది. October 16, 19:00 UTC నాటికి 162 కస్టమర్ టెనెంట్‌లలో అనధికార సైన్-ఇన్‌లు జరిగాయని Huntress స్వతంత్రంగా నివేదించింది.

అప్లికేషన్ ఐడెంటిటీలను అనుమతి లేకుండా వాడుతున్నారని ఈ కనుగొన్నవి రుజువు చేస్తాయి. ఆ 162 టెనెంట్‌లన్నీ డేటా దొంగతనాన్ని, అడ్మినిస్ట్రేటివ్ రాజీని లేదా దాడి చేసినవారి స్థిరమైన యాక్సెస్‌ను ఎదుర్కొన్నాయని అవి రుజువు చేయవు.

కనీసం ఒక టెనెంట్‌లో మరింత తీవ్రమైన అప్లికేషన్-పర్మిషన్, క్రెడెన్షియల్ మార్పులను కూడా పరిశోధకులు గమనించారు. సంబంధిత కార్యకలాపాన్నంతా ఒకే దాడి చేసినవారు చేశారని అందుబాటులో ఉన్న ఆధారాలు రుజువు చేయవు కాబట్టి, ఆ కనుగొన్నవాటిని విడిగా పరిశీలించాలి. మూలాలు: ConnectWise Trust Center, Sophos X-Ops investigation, మరియు Huntress investigation.

బ్యాకప్ అప్లికేషన్ Microsoft 365 ని ఎలా యాక్సెస్ చేస్తుంది

ఈ సంఘటనను అర్థం చేసుకోవడానికి ఉద్యోగి ఐడెంటిటీని, అప్లికేషన్ ఐడెంటిటీని వేరు చేసి చూడాలి. ఒక ఉద్యోగి Outlook ను యాక్సెస్ చేసినప్పుడు, సంస్థ సైన్-ఇన్ అవసరాల ప్రకారం Microsoft Entra ID ఆ వ్యక్తిని ఆథెంటికేట్ చేస్తుంది. వీటిలో మల్టీఫ్యాక్టర్ ఆథెంటికేషన్, డివైస్ తనిఖీలు, Conditional Access పాలసీలు ఉండవచ్చు.

ఆటోమేటెడ్ బ్యాకప్ సర్వీస్ వేరే విధంగా పనిచేస్తుంది. ఉద్యోగి లేకుండానే అది సమాచారాన్ని యాక్సెస్ చేయాలి. సాఫ్ట్‌వేర్ ఆథెంటికేట్ అయి సర్వీస్‌లకు యాక్సెస్ అడగడానికి వీలు కల్పించే అప్లికేషన్ ఐడెంటిటీల ద్వారా Microsoft Entra దీనికి మద్దతు ఇస్తుంది.

అనేక సంస్థలు వాడే థర్డ్-పార్టీ అప్లికేషన్ కోసం, Microsoft Entra రెండు సంబంధిత ఆబ్జెక్ట్‌లను వేరు చేస్తుంది. application registration (అప్లికేషన్ నమోదు) సాఫ్ట్‌వేర్ అప్లికేషన్‌ను సూచిస్తుంది. పబ్లిషర్ దాన్ని తన సొంత టెనెంట్‌లో నిర్వహిస్తాడు, అప్లికేషన్‌ను ఆథెంటికేట్ చేయడానికి వాడే క్రెడెన్షియల్స్ కూడా అందులో ఉంటాయి.

service principal (సర్వీస్ ప్రిన్సిపల్) ఒక నిర్దిష్ట కస్టమర్ టెనెంట్‌లో ఆ అప్లికేషన్ ఉనికిని సూచిస్తుంది. పర్మిషన్‌లను, యాక్సెస్‌ను కేటాయించగలిగే స్థానిక ఐడెంటిటీని అది అందిస్తుంది. కాబట్టి మల్టీటెనెంట్ అప్లికేషన్‌కు పబ్లిషర్ నియంత్రించే ఒక application registration, అనేక కస్టమర్ సంస్థల్లో వేర్వేరు service principal లు ఉండవచ్చు.

ఇది సాఫ్ట్‌వేర్-యాజ్-ఎ-సర్వీస్ ప్లాట్‌ఫామ్‌లు వాడే సాధారణ డిజైన్. అప్లికేషన్‌కు అనుమతి ఇవ్వాలా వద్దా, ఏ పర్మిషన్‌లు ఇవ్వాలి అనేది ప్రతి కస్టమర్ నిర్ణయిస్తాడు. అప్లికేషన్ తన ఐడెంటిటీని నిరూపించుకోవడానికి వాడే క్రెడెన్షియల్‌ను సాధారణంగా వెండర్ నియంత్రిస్తాడు.

ఈ సంబంధాన్ని Microsoft తన application objects and service principals మార్గదర్శకంలో వివరిస్తుంది.

అప్లికేషన్ సైన్-ఇన్ ఎలా పనిచేస్తుంది

కస్టమర్ టెనెంట్ నుంచి సమాచారం తీసుకుంటున్న బ్యాకప్ సర్వీస్‌ను ఊహించండి. client secret లేదా సర్టిఫికెట్ వంటి సపోర్ట్ ఉన్న క్రెడెన్షియల్‌ను ఉపయోగించి అప్లికేషన్ Microsoft Entra లో ఆథెంటికేట్ అవుతుంది, ఒక నిర్దిష్ట రిసోర్స్ కోసం యాక్సెస్ టోకెన్ అడుగుతుంది.

Microsoft Entra అప్లికేషన్ ఐడెంటిటీని ధ్రువీకరిస్తుంది, వర్తించే ఆథరైజేషన్, పాలసీ అవసరాలను మూల్యాంకనం చేస్తుంది, అభ్యర్థనను ఆమోదించవచ్చో లేదో నిర్ణయిస్తుంది. ఆ తనిఖీలు విజయవంతమైతే, అప్లికేషన్ అధికారిక పర్మిషన్‌లను ప్రతిబింబించే యాక్సెస్ టోకెన్‌ను అభ్యర్థించిన రిసోర్స్ కోసం Entra జారీ చేస్తుంది. అప్లికేషన్ ఆ టోకెన్‌ను Microsoft Graph కు సమర్పిస్తుంది, అభ్యర్థించిన ఆపరేషన్‌కు అనుమతి ఉందా అని Graph మూల్యాంకనం చేస్తుంది.

ఇందులో రెండు వేర్వేరు సెక్యూరిటీ నిర్ణయాలు ఉన్నాయి. Authentication (ఆథెంటికేషన్) అభ్యర్థన చేస్తున్నది ఏ ఐడెంటిటీ అని నిర్ధారిస్తుంది. Authorization (ఆథరైజేషన్) ఆ ఐడెంటిటీ దేన్ని యాక్సెస్ చేయవచ్చో లేదా మార్చవచ్చో నిర్ణయిస్తుంది.

చెల్లుబాటయ్యే అప్లికేషన్ క్రెడెన్షియల్ ప్రతి Microsoft 365 టెనెంట్‌కు లేదా సర్వీస్‌కు అపరిమిత యాక్సెస్ ఇవ్వదు. యాక్సెస్ లక్ష్య టెనెంట్‌లో అప్లికేషన్ ఉనికిపై, ఇచ్చిన పర్మిషన్‌లపై, వర్తించే ఏవైనా పరిమితులపై ఆధారపడి ఉంటుంది.

Microsoft Entra రెండు ముఖ్యమైన పర్మిషన్ మోడల్‌లకు మద్దతు ఇస్తుంది. delegated permissions తో, సైన్ ఇన్ అయిన వినియోగదారు సందర్భంలో అప్లికేషన్ పనిచేస్తుంది. application permissions తో, సాఫ్ట్‌వేర్ సైన్ ఇన్ అయిన వినియోగదారు లేకుండా, తన అధికారిక పర్మిషన్‌లకు లోబడి పనిచేయగలదు.

ConnectWise టోకెన్ కార్యకలాపం OAuth 2.0 client-credentials మోడల్ ద్వారా అప్లికేషన్-ఓన్లీ ఆథెంటికేషన్‌ను ఉపయోగించింది. ఒక వ్యక్తిగత ఉద్యోగి పాస్‌వర్డ్‌ను దాడి చేసినవారు పొందాల్సిన అవసరం ఎందుకు రాలేదో, ఆ ఉద్యోగి సాధారణ ఇంటరాక్టివ్ MFA సవాలును ఎందుకు పూర్తి చేయాల్సిన అవసరం రాలేదో ఇది వివరిస్తుంది.

MFA పనిచేయలేదని దీని అర్థం కాదు. అప్లికేషన్ ఐడెంటిటీలకు సెక్యూరిటీ నియంత్రణలు లేవని కూడా దీని అర్థం కాదు. దాడి చేసినవారు మానవ వినియోగదారుగా కాకుండా వర్క్‌లోడ్ ఐడెంటిటీగా ఆథెంటికేట్ అవ్వడానికి ప్రయత్నిస్తున్నారని దీని అర్థం.

కస్టమర్‌లు ఇప్పటికే అనుమతి ఇచ్చిన అప్లికేషన్ ఐడెంటిటీని నిరూపించగల క్రెడెన్షియల్‌ను దాడి చేసినవారు సంపాదించినప్పుడు సెక్యూరిటీ సరిహద్దు విఫలమైంది.

ఒకే క్రెడెన్షియల్ అనేక సంస్థలను ఎలా చేరగలదు

ConnectWise Cloud Backup అనేక Microsoft 365 టెనెంట్‌లలో పనిచేసేలా రూపొందించబడింది. ప్రతి కస్టమర్ తన సొంత వాతావరణాన్ని నిర్వహించుకున్నాడు, తన సొంత ఆథరైజేషన్ ప్రక్రియ ద్వారా అప్లికేషన్‌కు యాక్సెస్ ఇచ్చాడు. అయితే, వెండర్ నియంత్రించే అప్లికేషన్ క్రెడెన్షియల్‌ను, అనుమతి ఇచ్చిన కస్టమర్ టెనెంట్‌లన్నింటిలో అదే అప్లికేషన్ ఐడెంటిటీని ఆథెంటికేట్ చేయడానికి వాడవచ్చు.

ఆ క్రెడెన్షియల్ ఉన్న దాడి చేసినవారు, ప్రతి సంస్థ ఉద్యోగి ఖాతాలను విడివిడిగా రాజీ చేయకుండానే ఒకటి కంటే ఎక్కువ సంస్థలపై ఆథెంటికేషన్‌కు ప్రయత్నించవచ్చు. October 15 నాడు ఆటోమేటెడ్ టోకెన్ స్వీప్ సమయంలో ఈ విధానాన్ని Sophos గమనించింది.

అభ్యర్థనలు 144.172.64[.]128 వద్ద ఉన్న వర్చువల్ ప్రైవేట్ సర్వర్ నుంచి వచ్చాయి, కస్టమర్ టెనెంట్‌లను క్రమబద్ధమైన వరుసలో లక్ష్యంగా చేసుకున్నాయి. Sophos ఈ కార్యకలాపాన్ని సుమారు 96 నిమిషాల పాటు గమనించింది, జారీ అయిన టోకెన్‌లతో దాడి చేసినవారు చివరికి ఏం చేశారో తాను నిర్ధారించలేకపోయానని నివేదించింది. అదే సోర్స్ ఇన్‌ఫ్రాస్ట్రక్చర్‌కు సంబంధించిన అనధికార ఆథెంటికేషన్‌ను Huntress కూడా స్వతంత్రంగా గమనించింది, అయితే దాని పరిశోధన వేరే టెనెంట్‌ల సమూహాన్ని, వేరే పరిశీలనలను కవర్ చేసింది.

సాంకేతికంగా దీని ప్రాముఖ్యత ఏమిటంటే, ప్రతి కస్టమర్‌కు, వెండర్ అప్లికేషన్‌కు మధ్య ఇప్పటికే ఉన్న ఆథరైజేషన్ సంబంధాన్ని దాడి చేసినవారు వాడుకున్నారు. కస్టమర్ టెనెంట్‌లు ఒకే సెక్యూరిటీ వాతావరణంగా కలిసిపోలేదు. ప్రతి ఒక్కటి తన పర్మిషన్‌లను, నియంత్రణలను నిలుపుకుంది. కానీ రాజీ అయిన అదే వెండర్ క్రెడెన్షియల్‌ను ఆ అప్లికేషన్‌కు అనుమతి ఉన్న ఎక్కడైనా సమర్పించవచ్చు.

బ్యాకప్ సర్వీస్‌కు ఇచ్చిన పర్మిషన్‌లలో మెయిల్‌బాక్స్‌లు, ఫైల్‌లు, డైరెక్టరీ సమాచారం, రీస్టోరేషన్‌కు అవసరమైన ఆపరేషన్‌లకు యాక్సెస్ ఉండవచ్చు. యాక్సెస్ టోకెన్ పొందిన దాడి చేసినవారు ఆ టోకెన్ సూచించే పర్మిషన్‌లను వినియోగించగలిగే అవకాశం ఉంది.

అయితే, ఆధారాలను జాగ్రత్తగా అర్థం చేసుకోవాలి. ఆథెంటికేషన్ అభ్యర్థన అంటే విజయవంతమైన సైన్-ఇన్ కాదు. విజయవంతమైన సైన్-ఇన్ అంటే అభ్యర్థించిన Microsoft Graph ఆపరేషన్ విజయవంతమైందనడానికి తప్పనిసరిగా రుజువు కాదు. చెల్లుబాటయ్యే టోకెన్ అంటే కస్టమర్ సమాచారం డౌన్‌లోడ్ అయిందని లేదా మారిందని రుజువు కాదు.

అవి వేర్వేరు కనుగొన్నవి, వేర్వేరు ఆధారాలు అవసరం. మూలాలు: Sophos X-Ops technical analysis మరియు Huntress incident investigation.

స్థిరమైన యాక్సెస్‌కు ఒక మార్గాన్ని కూడా పరిశోధన గుర్తించింది

అనధికార టోకెన్ అభ్యర్థనలు మాత్రమే ఆందోళన కలిగించే కనుగొన్నవి కావు. October 15 నాడు ఒక కస్టమర్ టెనెంట్‌లో అప్లికేషన్-ఐడెంటిటీ మార్పుల ప్రత్యేక క్రమాన్ని Huntress నమోదు చేసింది.

సుమారు 03:44 నుంచి 03:49 UTC మధ్య, ConnectWise Cloud Management – MS Teams అనే సంబంధిత అప్లికేషన్ తనకు తానే Global Administrator డైరెక్టరీ రోల్‌ను కేటాయించుకుంది. అదే సమయంలో, కొత్త client secret లను జోడిస్తూ మరో రెండు అప్లికేషన్ ఐడెంటిటీలను అది మార్చింది.

ఆ ఐడెంటిటీలలో ఒకటి MSP మేనేజ్‌మెంట్ అప్లికేషన్‌కు చెందినది. మరొకటి ఆ టెనెంట్‌లోని Huntress Security Platform అప్లికేషన్‌కు చెందినది. దాని అప్లికేషన్‌తో అనుబంధం ఉన్న అనధికార క్రెడెన్షియల్‌ను ఉపయోగించి విజయవంతమైన ఆథెంటికేషన్‌ను Huntress తర్వాత గుర్తించింది.

క్లౌడ్ ఐడెంటిటీ పరిశోధనలో అప్లికేషన్-క్రెడెన్షియల్ మార్పులు ఎందుకు ముఖ్యమో ఈ పరిశీలనలు చూపిస్తాయి.

రెండో క్రెడెన్షియల్ ప్రత్యేక యాక్సెస్ మార్గాన్ని ఎలా సృష్టిస్తుంది

client secret ఒక అప్లికేషన్‌ను దాని నమోదైన ఐడెంటిటీగా ఆథెంటికేట్ అవ్వడానికి అనుమతిస్తుంది. మరో అప్లికేషన్‌కు కొత్త secret ను జోడించడానికి తగిన ఆథరైజేషన్ దాడి చేసినవారికి ఉంటే, ఆ అప్లికేషన్ ఐడెంటిటీని, దాని ప్రస్తుత పర్మిషన్‌లను ఉపయోగించి ఆథెంటికేట్ అవ్వగలరు. అది అసలు రాజీ అయిన క్రెడెన్షియల్ నుంచి వేరైన యాక్సెస్ మార్గాన్ని సృష్టిస్తుంది.

ఉదాహరణకు, ConnectWise Cloud Backup ఐడెంటిటీని డిసేబుల్ చేయడం వల్ల సంబంధం లేని మేనేజ్‌మెంట్ అప్లికేషన్‌కు జోడించిన అనధికార secret ఆటోమేటిక్‌గా తొలగిపోదు. రెండో అప్లికేషన్‌ను పరిశోధించాలి, దాని అనధికార క్రెడెన్షియల్స్‌ను తగిన ప్రతిస్పందన ప్రక్రియ ద్వారా తొలగించాలి లేదా చెల్లకుండా చేయాలి.

అయితే, ఒక అప్లికేషన్ క్రెడెన్షియల్ ఉండటం వల్ల మరో అప్లికేషన్‌ను మార్చే లేదా ప్రివిలేజ్డ్ రోల్‌ను కేటాయించే అధికారం ఆటోమేటిక్‌గా రాదు. ఆ చర్యలకు ప్రత్యేక పర్మిషన్‌లు లేదా ప్రివిలేజ్‌లు అవసరం. ఈ సంఘటనలో వేర్వేరు ఆథరైజేషన్ సంబంధాలున్న అనేక ConnectWise అప్లికేషన్ ఐడెంటిటీలు ఉన్నందున, ఈ తేడా ప్రత్యేకంగా ముఖ్యం.

పరిశోధకులు ఏం నిర్ధారించగలిగారు, ఏం నిర్ధారించలేకపోయారు

గమనించిన కార్యకలాపం సమయం ముఖ్యం. గుర్తించిన పబ్లిక్ IP అడ్రస్ నుంచి తర్వాత జరిగిన ఆథెంటికేషన్ కార్యకలాపానికి ముందే Global Administrator కేటాయింపులను, అదనపు క్రెడెన్షియల్ సృష్టిని Huntress నమోదు చేసింది.

ముందటి సంఘటనల్లో ట్రాఫిక్ Microsoft-హోస్టెడ్ ప్రైవేట్ అడ్రస్ స్పేస్ నుంచి నమోదైంది. ముందటి కార్యకలాపాన్ని, తర్వాతి పబ్లిక్-IP టోకెన్ స్వీప్‌ను ఒకే ఆపరేటర్ చేశారని Huntress నిర్ధారించలేకపోయింది. చట్టబద్ధమైన ConnectWise ఆటోమేషన్‌ను పోలిన ఇతర అప్లికేషన్ రోల్-అసైన్‌మెంట్ కార్యకలాపాన్ని కూడా అది గమనించింది, దాన్ని దాడి చేసినవారికి ఆటోమేటిక్‌గా ఆపాదించకుండా మరింత పరిశోధించాల్సి వచ్చింది.

October 21 నాడు, తనకు అందుబాటులో ఉన్న ఆధారాల ఆధారంగా, Microsoft పంచుకున్న థ్రెట్ ఇంటెలిజెన్స్‌తో సహా, ConnectWise Cloud Backup పై జరిగిన దాడికి చైనా ప్రభుత్వంతో అనుసంధానమైన ఒక సమూహం బాధ్యురాలిగా కనిపిస్తోందని, ఆ సమూహం బహిరంగంగా అందుబాటులో ఉన్న ఏజెంటిక్ AI ఫ్రేమ్‌వర్క్‌ను ఉపయోగించిందని ConnectWise తెలిపింది. అది వెండర్ అంచనా. Sophos ఏ గ్రూప్ పేరునూ చెప్పలేదు, ముందటి, తర్వాతి దశల కార్యకలాపాన్ని ఒకే ఆపరేటర్‌తో Huntress ముడిపెట్టలేదు. మూలం: ConnectWise Trust Center.

కాబట్టి ఆధారాలు ఒక కచ్చితమైన నిర్ధారణకు మద్దతు ఇస్తాయి:

అనేక కస్టమర్ టెనెంట్‌లలో అనధికార అప్లికేషన్ ఆథెంటికేషన్ జరిగింది, కనీసం ఒక టెనెంట్‌లో క్రెడెన్షియల్-పర్సిస్టెన్స్‌కు సంబంధించిన ప్రత్యేకమైన, ఆందోళనకరమైన క్రమం నమోదైంది. ఆ కార్యకలాపాల మధ్య పూర్తి సంబంధం నిర్ధారించబడలేదు.

వాటిని ప్రతి కస్టమర్‌పై ప్రభావం చూపిన, నిశ్చయంగా పునర్నిర్మించిన ఒకే దాడి క్రమంగా వర్ణించడం సరికాదు. మూలం: Huntress, ConnectWise/SkyKick vendor credential investigation.

వెండర్ కంటైన్‌మెంట్ కస్టమర్ రెమిడియేషన్‌ను ఎందుకు పూర్తి చేయలేదు

ప్రభావితమైన అప్లికేషన్ ఐడెంటిటీలను డిసేబుల్ చేయడం, క్రెడెన్షియల్స్‌ను రద్దు చేయడం, పరిశోధన సాగుతుండగా సంబంధిత క్లౌడ్ సర్వీస్‌లను నిలిపివేయడం ద్వారా ConnectWise స్పందించింది. October 18 నాటి దాని మార్గదర్శకం ప్రకారం, కంపెనీ October 17, 07:00 UTC నాడు ఏడు ConnectWise అప్లికేషన్ ఐడెంటిటీలను డిసేబుల్ చేసింది.

ఆ చర్య ప్రభావిత కనెక్షన్‌ల ద్వారా కొత్త ఆథెంటికేషన్‌ను నిరోధించింది. కస్టమర్ Microsoft 365 టెనెంట్‌ల లోపల ఇంతకు ముందు చేసిన మార్పులను అది ఆటోమేటిక్‌గా వెనక్కి తిప్పలేదు. ఇంతకు ముందు జారీ అయిన టోకెన్‌లు గడువు ముగిసే వరకు లేదా సమర్థవంతంగా చెల్లకుండా చేసే వరకు చెల్లుబాటులో ఉండవచ్చు. మరీ ముఖ్యంగా, వేరే ఐడెంటిటీలపై ఏర్పాటైన అదనపు క్రెడెన్షియల్స్, పర్మిషన్‌లు లేదా ప్రివిలేజ్డ్ కేటాయింపులను విడిగా పరిశోధించాల్సి ఉంది.

వెండర్ అప్లికేషన్ కనెక్షన్‌ను డిసేబుల్ చేయడానికి, కస్టమర్ తన సొంత టెనెంట్‌లో సంబంధిత ఎంటర్‌ప్రైజ్ అప్లికేషన్ స్థితిని ధ్రువీకరించడానికి మధ్య కూడా తేడా ఉంది. ఆ రెండూ వేర్వేరు అడ్మినిస్ట్రేటివ్ నియంత్రణలు.

అంటే ఇన్సిడెంట్ రెస్పాన్స్‌లో రెండు అనుసంధానమైన భాగాలు ఉన్నాయి. ConnectWise తన సొంత అప్లికేషన్ క్రెడెన్షియల్స్‌ను సురక్షితం చేయాలి, తన సర్వీస్‌లను పరిశోధించాలి, ప్రభావిత కనెక్షన్‌లను ఎప్పుడు సురక్షితంగా పునరుద్ధరించవచ్చో నిర్ధారించాలి. కస్టమర్ అడ్మినిస్ట్రేటర్‌లు, మేనేజ్డ్ సర్వీస్ ప్రొవైడర్‌లు తాము బాధ్యత వహించే టెనెంట్‌లలో అనధికార కార్యకలాపం జరిగిందో లేదో నిర్ధారించాలి.

అడ్మినిస్ట్రేటర్‌లు ఏం పరిశోధించాలి

సంబంధం లేని క్రెడెన్షియల్స్‌ను విచక్షణారహితంగా మార్చకుండా, ప్రభావిత అప్లికేషన్ ఐడెంటిటీలకు సంబంధించిన ఆధారాలపై పరిశోధన దృష్టి పెట్టాలి.

Service-principal sign-in records వర్క్‌లోడ్ ఐడెంటిటీలతో కూడిన ఆథెంటికేషన్‌ను చూపగలవు. ఈ సంఘటనలు సాధారణ ఉద్యోగి సైన్-ఇన్ కార్యకలాపం నుంచి వేరుగా ఉంటాయి, అడ్మినిస్ట్రేటర్‌లు క్రమం తప్పకుండా సమీక్షించే నివేదికలలో అవి కనిపించకపోవచ్చు.

Microsoft Entra audit logs అప్లికేషన్ క్రెడెన్షియల్స్, పర్మిషన్‌లు, service principal లు, డైరెక్టరీ-రోల్ కేటాయింపులలో మార్పులను గుర్తించగలవు. ఏ ఐడెంటిటీ మార్పును ప్రారంభించింది, ఏ ఐడెంటిటీ మారింది, ఆ తర్వాత ఊహించని క్రెడెన్షియల్‌ను వాడారా అనేది పరిశోధకులు పరిశీలించాలి.

October 13, 2026 నుంచి సంబంధిత కార్యకలాపాన్ని సమీక్షించాలని, అందుబాటులో ఉన్న ఆధారాలు అవసరాన్ని సూచించినచోట పరిశోధనను విస్తరించాలని ConnectWise సిఫార్సు చేస్తుంది. సోర్స్ అడ్రస్‌లు, అప్లికేషన్ ఐడెంటిటీలు, గమనించిన క్లయింట్ సాఫ్ట్‌వేర్‌తో సహా సంఘటన-నిర్దిష్ట సూచికలను Sophos, Huntress కూడా అందిస్తాయి.

ఆ సూచికలను సందర్భంలో అర్థం చేసుకోవాలి. అనుమానాస్పద IP అడ్రస్ పరిశోధనకు మద్దతు ఇవ్వగలదు, కానీ ఆ అడ్రస్ లేకపోవడం ఒక టెనెంట్ ప్రభావితం కాలేదని రుజువు చేయదు. అలాగే, Microsoft-హోస్టెడ్ ప్రైవేట్ నెట్‌వర్క్ అడ్రస్‌లు చట్టబద్ధమైన కార్యకలాపంలో కనిపించవచ్చు, అవి స్వయంగా దాడి చేసినవారిని గుర్తించవు.

దృశ్యమానతకు సంబంధించిన మరో ముఖ్యమైన పరిమితి ఉంది. అప్లికేషన్ ఆథెంటికేట్ అయిందని Microsoft Entra sign-in records నిర్ధారించగలవు. ఐడెంటిటీ, పర్మిషన్ మార్పులను audit logs చూపవచ్చు. Microsoft Graph ద్వారా అప్లికేషన్ ఆ తర్వాత చదివిన ప్రతి సమాచారాన్ని అవి తప్పనిసరిగా నమోదు చేయవు.

అదనపు Graph activity logs అందుబాటులో ఉన్నచోట, చేసిన తదుపరి ఆపరేషన్‌లను నిర్ధారించడానికి అవి పరిశోధకులకు సహాయపడవచ్చు. వాటి లభ్యత, కవరేజ్ టెనెంట్ కాన్ఫిగరేషన్, లైసెన్సింగ్, లాగింగ్ ఏర్పాట్లపై ఆధారపడి ఉంటాయి. కాబట్టి డేటా-యాక్సెస్ సంఘటన గమనించకపోవడం, ఎటువంటి యాక్సెస్ జరగలేదని ఎల్లప్పుడూ నిర్ధారించలేదు.

సంబంధిత ఆధారాలను భద్రపరచాలని, అప్లికేషన్ స్థితిని ధ్రువీకరించాలని, ప్రభావిత అప్లికేషన్‌లను డిసేబుల్ చేసేటప్పుడు లేదా తిరిగి కనెక్ట్ చేసేటప్పుడు ప్రస్తుత వెండర్ మార్గదర్శకాన్ని అనుసరించాలని అడ్మినిస్ట్రేటర్‌లకు సూచన. అప్లికేషన్ ఆబ్జెక్ట్‌లను వెంటనే తొలగించడం వల్ల ఉపయోగకరమైన పరిశోధన సందర్భం పోవచ్చు. ప్రభావిత కనెక్షన్‌లను డిసేబుల్ చేస్తూనే, వాటి కార్యకలాపాన్ని అర్థం చేసుకోవడానికి అవసరమైనదాన్ని భద్రపరచాలని ఇన్సిడెంట్-రెస్పాన్స్ మార్గదర్శకం సిఫార్సు చేస్తుంది.

ఉద్యోగుల పాస్‌వర్డ్‌లను మార్చడం లేదా వినియోగదారు సెషన్‌లను రద్దు చేయడం మాత్రమే అప్లికేషన్ ఐడెంటిటీలతో అనుబంధం ఉన్న అనధికార క్రెడెన్షియల్స్‌ను పరిష్కరించదు. మూలాలు: ConnectWise Trust Center and remediation guidance, Sophos X-Ops investigation, మరియు Huntress technical findings.

కస్టమర్ బ్యాకప్‌లపై ప్రభావం

సెక్యూరిటీ పరిశోధన కార్యకలాపాలకు కూడా అంతరాయం కలిగించింది. తన వాతావరణాన్ని సురక్షితం చేస్తూ, ప్రభావిత అప్లికేషన్ కనెక్షన్‌లను ధ్రువీకరిస్తూ ConnectWise Cloud Backup, సంబంధిత సర్వీస్‌లను నిలిపివేసింది. నిలిపివేత సమయంలో షెడ్యూల్డ్ బ్యాకప్ ఆపరేషన్‌లు, ఆర్కైవ్ యాక్సెస్, రీస్టోరేషన్ సామర్థ్యాలు ఆగిపోయాయి.

ప్రస్తుత Cloud Backup ఆర్కైవ్‌లు ఎన్‌క్రిప్ట్ అయి, ఐసోలేట్ అయి ఉన్నాయని, ఆ సమయంలో ఆ ఆర్కైవ్‌లు రాజీ అయ్యాయనడానికి సూచన లేదని ConnectWise నివేదించింది. ఆ కనుగొనడం ప్రొవైడర్ నిల్వ చేసిన బ్యాకప్‌లకు సంబంధించినది. అనధికార అప్లికేషన్ ఆథెంటికేషన్ వల్ల ప్రతి కస్టమర్ లైవ్ Microsoft 365 వాతావరణం ప్రభావితం కాలేదని అది రుజువు చేయదు.

ఇంతకు ముందు బ్యాకప్ చేసిన డేటా నిల్వ ఉన్న ప్రత్యేక ఆర్కైవ్‌ను రాజీ చేయకుండానే, బ్యాకప్ అప్లికేషన్‌కు ఇచ్చిన Microsoft Graph పర్మిషన్‌లను వాడి లైవ్ టెనెంట్‌లోని సమాచారాన్ని దాడి చేసినవారు యాక్సెస్ చేసే అవకాశం ఉంది. అందువల్ల రెండు ఆందోళనలు వేర్వేరుగా ఉండాలి: ప్రస్తుత బ్యాకప్ ఆర్కైవ్‌ల భద్రత, లైవ్ కస్టమర్ వాతావరణాలకు అనధికార యాక్సెస్.

October 21 నాడు ConnectWise దశలవారీ సర్వీస్ పునరుద్ధరణ ప్రారంభించింది, కానీ అన్ని సర్వీస్‌లు కోలుకున్నాయని లేదా ప్రభావిత కస్టమర్ టెనెంట్‌లన్నీ పరిశోధనను పూర్తి చేశాయని ఇది నిర్ధారించలేదు. అధికారిక పునరుద్ధరణ, తిరిగి కనెక్ట్ చేసే మార్గదర్శకం జారీ అయ్యే వరకు ప్రభావిత అప్లికేషన్ కనెక్షన్‌లను డిసేబుల్ చేసి ఉంచాలని అడ్మినిస్ట్రేటర్‌లకు సూచించారు. మూలం: ConnectWise Trust Center.

ఈ సంఘటన ఏం చూపిస్తుంది

థర్డ్-పార్టీ Microsoft 365 అప్లికేషన్‌లు సహజంగానే అసురక్షితమని ConnectWise సంఘటన రుజువు చేయదు. క్లౌడ్ బ్యాకప్, మేనేజ్‌మెంట్ ప్లాట్‌ఫామ్‌లు తమ సర్వీస్‌లు అందించడానికి కస్టమర్ వాతావరణాలకు యాక్సెస్ అవసరం. మల్టీటెనెంట్ అప్లికేషన్ ఐడెంటిటీలు, అప్లికేషన్-ఓన్లీ ఆథెంటికేషన్ ఆ ఆర్కిటెక్చర్‌లో సాధారణ భాగాలు.

కస్టమర్‌లు ఇప్పటికే అనుమతి ఇచ్చిన అప్లికేషన్ ఐడెంటిటీని నిరూపించడానికి వాడే క్రెడెన్షియల్‌ను దాడి చేసినవారు సంపాదించినప్పుడు ప్రమాదం తలెత్తుతుంది.

ఈ సందర్భంలో, అనేక కస్టమర్ టెనెంట్‌లలో అనధికార అప్లికేషన్ ఆథెంటికేషన్ జరిగిందని పరిశోధకులు నిర్ధారించారు. ఒక నిర్దిష్ట టెనెంట్‌లో ప్రివిలేజ్డ్ అప్లికేషన్ మార్పులను, అనధికార క్రెడెన్షియల్స్‌ను కూడా Huntress నమోదు చేసింది, కార్యకలాపం యొక్క వేర్వేరు దశలను ఆపాదించడంలో ఉన్న పరిమితులను స్పష్టంగా అంగీకరించింది.

అసలు వెండర్ క్రెడెన్షియల్‌ను మార్చడం అవసరమే కానీ, ప్రతి కస్టమర్ వాతావరణం సురక్షితమని నిర్ధారించడానికి సరిపోదని ఆ కనుగొన్నవి వివరిస్తాయి. వేర్వేరు ఐడెంటిటీలు, పర్మిషన్‌లు లేదా క్రెడెన్షియల్స్ ద్వారా యాక్సెస్ విస్తరించిందో లేదో కూడా సంస్థలు నిర్ధారించాల్సి వచ్చింది.

Microsoft 365 సంస్థ సెక్యూరిటీ సరిహద్దులో, దాని సిస్టమ్‌లలోకి సైన్ ఇన్ అయ్యే వ్యక్తులు మాత్రమే కాదు, అది అనుమతి ఇచ్చే థర్డ్-పార్టీ అప్లికేషన్‌లు కూడా ఉంటాయి.

వినియోగదారు ఖాతాలను రక్షించడం ఇప్పటికీ అవసరమే. అప్లికేషన్ ఐడెంటిటీలను అర్థం చేసుకోవడం, పర్యవేక్షించడం ఒక ప్రత్యేక బాధ్యత, ముఖ్యంగా వెండర్ నియంత్రించే ఒకే క్రెడెన్షియల్‌ను అనేక కస్టమర్ టెనెంట్‌లలో విశ్వసించగలిగినప్పుడు.

మరింత లోతుగా

పరిశోధన సమీక్షించిన తేదీ: October 21, 2026. సంఘటన పరిశోధనలు అదనపు కనుగొన్నవాటిని వెలుగులోకి తేవచ్చు. టెనెంట్ సంఖ్యలు తేదీలతో కూడిన పరిశీలనలను ప్రతిబింబిస్తాయి, డేటా దొంగతనం లేదా స్థిరమైన రాజీ ఎదుర్కొన్నట్లు నిర్ధారించిన సంస్థల తుది సంఖ్యను కాదు.

వెండర్ అడ్వైజరీలు, మార్గదర్శకం

• ConnectWise Trust Center, Cloud Backup incident advisories, అధికారిక సంఘటన ప్రకటనలు, కంటైన్‌మెంట్ చర్యలు, ప్రభావిత సర్వీస్‌లు, పునరుద్ధరణ సూచనలు.
• ConnectWise Cloud Backup Technical Investigation and Remediation Guide, October 2026, అప్లికేషన్ ఐడెంటిఫైయర్‌లు, పరిశోధన పరిధి, ఆధారాల భద్రపరచడం, కస్టమర్ రెమిడియేషన్ మార్గదర్శకం.

స్వతంత్ర పరిశోధనలు

• Sophos X-Ops, ConnectWise Cloud Backup application abused in cross-tenant token sweep, ఆటోమేటెడ్ అప్లికేషన్ ఆథెంటికేషన్, Microsoft Graph టోకెన్ అభ్యర్థనలపై స్వతంత్ర విశ్లేషణ.
• Huntress, ConnectWise/SkyKick vendor credentials abused in Microsoft 365 attacks, అనధికార ఆథెంటికేషన్ పరిశీలనలు, ప్రివిలేజ్డ్ అప్లికేషన్ మార్పులు, క్రెడెన్షియల్ పర్సిస్టెన్స్, ఆపాదింపు పరిమితులు.
• Kudelski Security, ConnectWise Cloud Backup vendor credential abuse, స్వతంత్ర సంఘటన విశ్లేషణ, సాంకేతిక సందర్భం.

Microsoft డాక్యుమెంటేషన్

• Microsoft, Application objects and service principals, application registration లు, కస్టమర్-టెనెంట్ service principal లు, మల్టీటెనెంట్ ఆథరైజేషన్‌ను వివరిస్తుంది.
• Microsoft, Service-principal sign-ins, వర్క్‌లోడ్-ఐడెంటిటీ ఆథెంటికేషన్ రికార్డులను వివరిస్తుంది.
• Microsoft, Application authorization and resource access, అప్లికేషన్ యాక్సెస్ నిర్ణయాలను, ఆథరైజేషన్ సరిహద్దులను వివరిస్తుంది.

సంభావ్య ఎక్స్‌పోజర్‌ను పరిశోధిస్తున్న సంస్థలు తమ వాతావరణాలకు తగిన ప్రస్తుత ConnectWise, Microsoft సెక్యూరిటీ మార్గదర్శకాన్ని అనుసరించాలి.

TechiesJournalలో సంబంధిత రచనలు

• MCP క్రెడెన్షియల్ హద్దు: మీ OAuth క్రెడెన్షియల్స్ ఎక్కడికి వెళ్తాయో ఒక MCP సర్వర్ ఎందుకు నిర్ణయించకూడదు అప్లికేషన్ క్రెడెన్షియల్స్‌ను ఎక్కడ విశ్వసించవచ్చో, ఎక్కడ విశ్వసించకూడదో మరో కోణంలో చూడటానికి.
• CI/CD సప్లై చైన్ దాడులు: దాడి చేసేవారు మీ పైప్‌లైన్‌ను ఎలా చేరుకుంటారు విశ్వసనీయ కనెక్షన్ ప్రవేశ మార్గంగా మారగల మరో విధానం కోసం.