ConnectWise ตั้งเป้าเริ่มรับพาร์ตเนอร์ Cloud Backup แบบเป็นเฟส 26 ต.ค. ยังขึ้นกับผลตรวจ
คำตอบสั้น: อัปเดตล่าสุดที่ ConnectWise เผยแพร่บน Trust Center ระบุว่า ณ 24 ตุลาคม เวลา 14:00 UTC การทดสอบและตรวจสอบความปลอดภัยเพื่อฟื้นบริการ Cloud Backup ยังดำเนินอยู่ บริษัทตั้งเป้าเริ่มรับพาร์ตเนอร์เป็นเฟสในวันจันทร์ที่ 26 ตุลาคม โดยมีเงื่อนไขว่าการตรวจที่จำเป็นต้องผ่าน จึงยังสรุปไม่ได้ว่าบริการกลับมาแล้วหรือทุกบัญชีจะเข้าใช้งานได้วันนั้น
ConnectWise ซึ่งให้บริการ Cloud Backup เดิมชื่อ SkyKick ระบุว่าจะเปิดทางให้กู้คืนข้อมูลจากแบ็กอัปเดิมก่อน แล้วจึงเริ่มลงทะเบียนบริการกลับเป็นเฟสพร้อมคำแนะนำเฉพาะขั้นตอน ผู้ให้บริการขอให้คงการเชื่อมต่อแอปที่ได้รับผลกระทบไว้ในสถานะปิด จนกว่าจะมีคำแนะนำที่ใช้กับบริการของแต่ละราย สถานะนี้เป็นอัปเดต ณ 24 ตุลาคม 14:00 UTC (21:00 น. เวลาไทย)
กำหนดฟื้นบริการกับการตรวจสอบบัญชีลูกค้าเป็นคนละเรื่อง
คำชี้แจงเดียวกันบอกว่าไฟล์แบ็กอัปที่เก็บอยู่ยังเข้ารหัส แยกเก็บ และคงสภาพไว้ โดยบริษัทระบุว่า “ไม่พบข้อบ่งชี้” ว่าถูกโจมตี ข้อความนี้เป็นผลการตรวจที่ผู้ให้บริการรายงาน ณ เวลานั้น ไม่ใช่หลักฐานอิสระที่พิสูจน์ว่าไม่มีการเข้าถึงข้อมูลในทุกสภาพแวดล้อม และไม่ตอบแทนการตรวจ Microsoft 365 ของแต่ละองค์กร
ConnectWise ยังระบุว่าไม่มีข้อบ่งชี้ว่าผลิตภัณฑ์หรือบริการอื่นของบริษัทได้รับผลจากเหตุการณ์นี้ และแนะนำให้ตรวจสภาพแวดล้อม Microsoft 365 เป็นรายองค์กรต่อไป เหตุขัดข้องของ Axcient Backup for Files Legacy Portal ที่บริษัทประกาศว่ากลับมาใช้งานได้เมื่อ 22 ตุลาคม เกี่ยวข้องกับการแก้ช่องโหว่ PHP ในวงกว้างและระบุชัดว่าเป็นคนละเหตุการณ์กับ Cloud Backup
Microsoft ระบุอะไรเกี่ยวกับ Storm-0940 และ ARTEX
บริบทด้าน AI มาจากรายงานวันที่ 21 ตุลาคมของ Microsoft Security Research และ Microsoft Threat Intelligence ซึ่งประเมินว่า Storm-0940 ผู้โจมตีที่ Microsoft จัดว่าเชื่อมโยงกับรัฐจีน รับผิดชอบการเจาะแอปหลายผู้เช่าของ ConnectWise และใช้กรอบทดสอบเจาะระบบชื่อ ARTEX เร่งการสแกน การสำรวจระบบ การเดารหัสผ่าน และการใช้แอป OAuth ที่มีสิทธิ์อยู่แล้ว นี่เป็นการประเมินของ Microsoft จากเทเลเมทรี ไม่ใช่การทดลองซ้ำโดยผู้ตรวจอิสระในบทความนี้
Microsoft รายงานว่าเห็นกิจกรรมต่อเนื่องผ่าน Microsoft Graph ในหลายสภาพแวดล้อม เช่น การสำรวจ การเปลี่ยนข้อมูลรับรองแอป และความพยายามแก้สิทธิ์ แต่ย้ำว่าการพบแอปที่ได้รับผลหรือการยืนยันตัวตนสำเร็จไม่ได้แปลว่าข้อมูลลูกค้าถูกอ่านหรือส่งออกแล้ว
ตัวเลขคนละชุด ไม่ควรรวมเป็นจำนวนองค์กรที่ถูกเจาะ
Microsoft แยกแคมเปญเดารหัสผ่านช่วง 10–14 ตุลาคมออกจากการพยายามเข้าถึงผู้เช่าผ่านแอปที่ถูกยึดบัญชี: กลุ่มแรกมีบัญชีเป้าหมาย 327 บัญชีใน 8 องค์กรและความพยายามเข้าสู่ระบบที่ล้มเหลวมากกว่า 151,000 ครั้ง โดยไม่พบการยืนยันตัวตนสำเร็จ การออกโทเคน การเรียก Graph หรือการเปลี่ยนไดเรกทอรีในกลุ่มนี้ ส่วนการพยายามลงชื่อเข้าใช้ผู้เช่าปลายทางมากกว่า 2,250 รายเป็นอีกกลุ่มหนึ่ง และไม่ใช่จำนวนองค์กรที่ยืนยันว่าถูกเจาะ
Huntress รายงานข้อมูลจากระบบที่ตนมองเห็นว่า credential ของผู้ให้บริการถูกใช้ลงชื่อเข้าใช้แอปใน Microsoft 365 และพบกิจกรรมหลังเข้าถึงในสองผู้เช่าที่ทบทวน ในอัปเดต 19 ตุลาคม Huntress แยก IP ที่เกี่ยวกับ app sign-in ออกจาก IP ที่ใช้เดารหัสผ่านและระบุว่าในเวลานั้นยังไม่เชื่อว่าความพยายามเดารหัสผ่านเหล่านั้นเกี่ยวข้องกับ app sign-in ที่รายงาน ต่อมา Microsoft เผยแพร่การประเมินวันที่ 21 ตุลาคมที่เชื่อมโยงกิจกรรมในภาพรวมเข้าด้วยกัน โดยอาศัยเทเลเมทรีและการประเมินของตน
Huntress ยังระบุว่าอาจมีการอ่าน Graph directory ที่ไม่ทิ้ง audit record แบบเดียวกับการแก้ไขกล่องจดหมายหรือไฟล์ จึงไม่พบหลักฐานการแก้ไขดังกล่าวไม่อาจยืนยันว่าไม่มีการอ่านข้อมูล และ Huntress ไม่ได้ยืนยันการใช้ ARTEX หรือการระบุตัวผู้โจมตีแบบ Microsoft
สิ่งที่ผู้ดูแลควรแยกตรวจ
- การเปิดสิทธิ์กู้ไฟล์จากแบ็กอัป ไม่ได้แปลว่าการเชื่อมต่อแอปควรเปิดกลับแล้ว ให้ทำตามคำแนะนำที่ตรงกับบริการของตน
- ตรวจ service-principal sign-ins และการเปลี่ยนข้อมูลรับรองหรือสิทธิ์ของแอปในผู้เช่า Microsoft 365 ตามคำแนะนำของ ConnectWise และ Microsoft
- การที่ไม่มีบันทึกการเปลี่ยนไฟล์หรือกล่องจดหมาย ไม่ได้ตัดความเป็นไปได้ของการอ่านข้อมูลที่ไม่ถูกบันทึก
ติดตามข่าวที่เกี่ยวข้องในหมวด งานวิจัย AI และความปลอดภัย
ทั้ง ConnectWise และ Microsoft มีแรงจูงใจและมุมมองข้อมูลต่างกัน: ConnectWise รายงานสถานะการกู้บริการและผลตรวจแบ็กอัปของตน ส่วน Microsoft อธิบายกิจกรรมในเทเลเมทรี Microsoft 365; Huntress ให้การสังเกตจากลูกค้าและระบบที่เข้าถึงได้ บทความนี้จึงยืนยันได้ว่ามีเป้าหมายฟื้นบริการตามกำหนดแบบมีเงื่อนไข และมีรายงานจากบริษัทความปลอดภัยถึงการใช้ข้อมูลรับรองแอป แต่ยังยืนยันการกู้คืนเสร็จ การเข้าถึงข้อมูลของลูกค้าทุกราย หรือบทบาทเชิงสาเหตุของ AI โดยอิสระไม่ได้
สำรวจสถานะหลักฐาน
เลือกหัวข้อเพื่อเปลี่ยนข้อมูลและข้อจำกัดที่แสดง ทุกข้อมีเนื้อหาในบทความและยังอ่านได้เมื่อปิด JavaScript
กำหนดฟื้นบริการ
หลักฐาน: ConnectWise ตั้งเป้าเริ่มรับพาร์ตเนอร์เป็นเฟสวันที่ 26 ต.ค. หลังการทดสอบสำเร็จ
สิ่งที่ยังไม่ยืนยัน: การเปิดบริการจริงและวันเข้าถึงของแต่ละพาร์ตเนอร์
ไฟล์สำรอง
หลักฐาน: ConnectWise ระบุว่าไฟล์เข้ารหัส แยกเก็บ คงสภาพ และไม่มีข้อบ่งชี้การถูกโจมตี ณ 24 ต.ค. 14:00 UTC
สิ่งที่ยังไม่ยืนยัน: ไม่มีข้อบ่งชี้ไม่ใช่หลักฐานอิสระที่ยืนยันว่าไม่มีการเข้าถึงทุกสภาพแวดล้อม
ผู้เช่า Microsoft 365
หลักฐาน: Microsoft และ Huntress รายงานกิจกรรมจากเทเลเมทรีคนละขอบเขต
สิ่งที่ยังไม่ยืนยัน: การยืนยันตัวตนสำเร็จไม่พิสูจน์การอ่านหรือส่งออกข้อมูล; ควรตรวจบันทึกของแต่ละองค์กร
ข้อกล่าวอ้าง AI
หลักฐาน: Microsoft ประเมินว่า Storm-0940 ใช้ ARTEX เร่งงานโจมตี
สิ่งที่ยังไม่ยืนยัน: Huntress ไม่ได้ยืนยัน ARTEX หรือการระบุตัวผู้โจมตีแบบ Microsoft
เมื่อปิด JavaScript เนื้อหาทั้งสี่สถานะยังแสดงในบทความ
คำถามที่พบบ่อย
Cloud Backup กลับมาใช้งานได้แล้วหรือยัง
อัปเดต 24 ตุลาคมยังกล่าวถึงการทดสอบและตรวจสอบที่ดำเนินอยู่ โดยตั้งเป้าเริ่มรับพาร์ตเนอร์เป็นเฟสวันที่ 26 ตุลาคมเมื่อผ่านเงื่อนไข จึงยังไม่ใช่ประกาศว่าฟื้นบริการครบแล้ว
แบ็กอัปถูกขโมยหรือไม่
ConnectWise ระบุว่าแบ็กอัปเข้ารหัส แยกเก็บ และไม่มีข้อบ่งชี้ว่าถูกโจมตี แต่เป็นคำชี้แจงของผู้ให้บริการในขอบเขตข้อมูลที่ตรวจ ไม่ใช่ข้อพิสูจน์ว่าไม่มีการเข้าถึงข้อมูลลูกค้าทุกราย
มีหลักฐานอิสระว่า AI ทำการโจมตีหรือไม่
Microsoft ระบุว่า Storm-0940 ใช้ ARTEX เร่งงานโจมตี ส่วนรายงาน Huntress ยืนยันการใช้ข้อมูลรับรองแอปในขอบเขตของตน แต่ไม่ได้ยืนยัน ARTEX หรือการระบุผู้โจมตีนี้โดยตรง
ใส่ความเห็น