Как одна украденная учетная запись приложения открыла доступ к более чем 173 арендаторам Microsof...

15 октября 2026 года злоумышленник вошел в более чем 170 учетных записей Microsoft 365, не используя фишинг, без пароля и без запроса многофакторной аутентификации. Он вошел в систему как ConnectWise Cloud Backup (ранее SkyKick Backup), многопользовательское приложение, на использование которого эти учетные записи дали свое согласие. В этом видео объясняется, как это работает в Microsoft Entra, и в конце рассказывается о том, что следует проверить в вашей учетной записи сегодня и как поставщики и клиенты могут исправить эту ситуацию. Это инцидент, произошедший в режиме реального времени на момент публикации. Факты актуальны по состоянию на 18 октября 2026 года. О фрагментах: каждый фрагмент в этом видео взят из предыдущего эпизода Entra.Chat, записанного до этого инцидента. Они призваны помочь объяснить тему и обучить Entra. Они предназначены для обучения, а не являются заявлениями выступающих об инциденте с ConnectWise. ЧТО ПРОВЕРИТЬ СЕГОДНЯ 1. Найдите приложение в корпоративных приложениях по его идентификатору, а не по имени: 506e08f9-6e9a-4da4-942b-a099a03644ae 2. Отключите его, а не удаляйте: Свойства - Разрешено ли пользователям входить в систему? = Нет. Сделайте то же самое для приложений ConnectWise Cloud Management (Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519, MS Teams 24205314-2b89-4e07-a2a4-579e898a5640, SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb), пока ConnectWise не подтвердит их безопасность. 3. Проверьте журналы входа в систему — входы субъекта службы (не входы пользователей) для идентификатора приложения и 144.172.64(.)128. 4. В журнале аудита найдите новые секреты или сертификаты для любого приложения или субъекта службы с 13 октября, а также для любого приложения, которое добавило себя в роль каталога. 5. Entra ID Free хранит журналы за 7 дней. Экспортируйте их сейчас. РАЗДЕЛЫ 0:00 Одно приложение, 173 арендатора 0:45 Как это было обнаружено 1:04 Многопользовательские приложения за 60 секунд 1:41 Что разрешено делать резервному приложению 2:27 Один ключ, каждый арендатор 3:16 Проверка 3:38 Бэкдор 4:09 Замки, которые его останавливают 4:36 Радиус взрыва 5:23 Что проверить сегодня 5:51 Исправление шаблона 6:38 Далее: ИИ-агенты УЧАСТНИКИ (фрагменты из Entra.Chat) Кельвин Тегелаар, основатель CyberDrain и создатель CIPP (полный эпизод скоро будет доступен) Эрин Гринли, Microsoft Entra: Полное руководство по согласию приложений в Microsoft Entra -    • The Ultimate Guide to App Consent in Micro...   Джефф Сакович, Microsoft Entra: Остановите кровотечение: очистка приложений, секретов и согласия - https://entra.news/p/stop-the-bleedin... Эрик Вудрафф, Semperis -    • Mastering Microsoft Entra ID: Real-World P...   Шон Меткалф, TrustedSec -    • Stop Leaving the Door Open: The Entra ID H...   Кэти Ноулз, Datadog: Один скомпрометированный план агента может пересечь границы арендаторов -    • One Compromised Agent Blueprint Can Cross ...   ИСТОЧНИКИ Huntress: Учетные данные поставщика ConnectWise (SkyKick) используются в атаках на M365 - https://www.huntress.com/blog/vendor-... Todyl: Расследование: Несанкционированный доступ через приложение Microsoft 365 ConnectWise Cloud Backup - https://www.todyl.com/blog/investigat... Страница состояния ConnectWise - https://status.connectwise.com/ Microsoft Threat Intelligence on X - https://x.com/MsftSecIntel Блокировка свойств экземпляра приложения - https://learn.microsoft.com/entra/ide... Условный доступ для идентификаторов рабочих нагрузок - https://learn.microsoft.com/entra/ide... Политики управления приложениями - https://learn.microsoft.com/entra/ide... Отключение входа в систему для корпоративного приложения - https://learn.microsoft.com/entra/ide... https://entra.chat