နေ့စဉ်အကျဉ်းချုပ်
Microsoft 365 ငှားရမ်းသူများ၏ အချက်အလက်များကို တိုက်ခိုက်သူများက ခိုးယူပြီးနောက် ConnectWise သည် Cloud Backup ကို ရပ်ဆိုင်းလိုက်သည်
ဒီနေ့ အကျဉ်းချုပ်မှာ M365 tenant compromise တွေ ဖြစ်ပွားပြီးနောက် ConnectWise က app identity တွေကို ဆိုင်းငံ့ထားမှုနဲ့ shellcode loader တွေကို ပို့လွှတ်တဲ့ malicious npm package အကြောင်းကို ဖော်ပြထားပါတယ်။
သတင်း 5 ပုဒ်2 မိနစ် ဖတ်ရှုရမည်
ခြိမ်းခြောက်မှုလုပ်ဆောင်သူများသည် ConnectWise Cloud Backup အထောက်အထားများကို ခိုးယူခဲ့ပြီး Microsoft 365 ဖောက်သည်ငှားရမ်းသူ အနည်းဆုံး ၁၇၃ ဦးကို ဝင်ရောက်ကြည့်ရှုနိုင်ခဲ့ပြီး ConnectWise သည် အပလီကေးရှင်းအထောက်အထားခုနစ်ခုကို ပိတ်ပစ်ပြီး ၎င်း၏ Cloud Backup ဝန်ဆောင်မှုကို ရပ်ဆိုင်းခဲ့သည်။
ဆော့ဖ်ဝဲလ် ထောက်ပံ့ရေးကွင်းဆက်အန္တရာယ်များတွင် သုတေသီများသည် MALFEX campaign နှင့် ချိတ်ဆက်ထားသော imgdecode အမည်ရှိ အန္တရာယ်ရှိသော npm package တစ်ခုကို ရှာဖွေတွေ့ရှိခဲ့ပြီး Windows စနစ်များတွင် shellcode ကို ရယူပြီး execute လုပ်ရန် native DLL တစ်ခုကို load လုပ်သည်။
ဟက်ကာများသည် Microsoft 365 ငှားရမ်းသူ ၁၇၃ ဦးထံ ဝင်ရောက်ရန် ConnectWise အထောက်အထားကို အသုံးပြုခဲ့ကြသည်
Microsoft 365 မိတ်ဖက်နှင့် ဖောက်သည်ငှားရမ်းသူ ၁၇၃ ဦးတွင် ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်မှုများပြုလုပ်ရန် ခြိမ်းခြောက်မှုလုပ်ဆောင်သူများသည် ConnectWise Cloud Backup အထောက်အထားကို အသုံးချခဲ့ကြသည်။ ၎င်းအက်ပ်သည် မေးလ်ဘောက်စ်များ၊ SharePoint၊ OneDrive နှင့် လမ်းညွှန်ဒေတာများတွင် ကျယ်ပြန့်သောခွင့်ပြုချက်များကို ရရှိထားသည်။
- အဘယ်ကြောင့် အရေးကြီးသနည်း
- ConnectWise Cloud Backup ကိုအသုံးပြုသော စီမံခန့်ခွဲထားသော ဝန်ဆောင်မှုပေးသူများနှင့် ၎င်းတို့၏ဖောက်သည်များသည် Microsoft 365 ဝန်ဆောင်မှုများတွင် tenant data များကို ကျယ်ကျယ်ပြန့်ပြန့် ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ကြည့်ရှုခြင်းနှင့် ရင်ဆိုင်နေရသည်။
Microsoft 365 ငှားရမ်းသူများ၏ အချက်အလက်များကို တိုက်ခိုက်သူများက ခိုးယူပြီးနောက် ConnectWise သည် Cloud Backup ကို ရပ်ဆိုင်းလိုက်သည်
ခြိမ်းခြောက်မှုပြုလုပ်သူများသည် အထောက်အထားများကို ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ကြည့်ရှုနိုင်ခဲ့ပြီး Microsoft 365 tenant များကို ထိခိုက်စေပြီးနောက် ConnectWise သည် ၎င်း၏ Cloud Backup ဝန်ဆောင်မှုကို ရပ်ဆိုင်းခဲ့ပြီး application ခုနစ်ခုကို ပိတ်ပစ်ခဲ့သည်။
- အဘယ်ကြောင့် အရေးကြီးသနည်း
- ConnectWise Cloud Management နှင့် Backup ဖြေရှင်းချက်များကို အားကိုးနေရသော အဖွဲ့အစည်းများသည် ၎င်းတို့၏ Microsoft 365 tenant data များကို ခွင့်ပြုချက်မရှိဘဲ ခြိမ်းခြောက်သူများထံ ပေးပို့နိုင်ခြေနှင့် ရင်ဆိုင်ရနိုင်သည်။
MALFEX npm Package 'imgdecode' သည် Windows Native Addon တွင် Shellcode Loader ကို ဝှက်ထားသည်
MALFEX campaign ၏ အစိတ်အပိုင်းတစ်ခုဖြစ်သည့် 'imgdecode' အမည်ရှိ malware ပါဝင်သော npm package တစ်ခုကို Node.js addon တစ်ခုအတွင်း Windows DLL တစ်ခုကို ဝှက်ထားသည်ကို တွေ့ရှိခဲ့သည်။ Windows တွင် ခေါ်ယူသောအခါ၊ DLL သည် GitHub မှ encrypted shellcode ကို download လုပ်ပြီး dllhost.exe ထဲသို့ inject လုပ်သည်။
ဟက်ကာများသည် ConnectWise ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုမှတစ်ဆင့် Microsoft 365 tenant များကို ချိုးဖောက်ခဲ့သည်
တောင်းဆိုထားသော ဆောင်းပါးအကြောင်းအရာကို မူရင်းဝဘ်ဆိုက်တွင် Cloudflare လုံခြုံရေး အတည်ပြုချက် ပိတ်ဆို့ထားခြင်းကြောင့် ပြန်လည်ရယူနိုင်ခြင်း မရှိပါ။
Drupal သည် အရေးကြီးသော RCE ချို့ယွင်းချက်များကို ပြင်ဆင်ပြီး မကြာမီ အားနည်းချက်များ ပေါ်ပေါက်လာနိုင်ကြောင်း သတိပေး
Drupal သည် content management system ၏ support လုပ်ထားသော version များကို run နေသော website များတွင် attacker များအား remote code များကို execute လုပ်ခွင့်ပြုနိုင်သည့် အရေးကြီးသော အားနည်းချက်နှစ်ခုကို ပြင်ဆင်ပြီးဖြစ်သည်။
အဓိကအချက်များ
- Microsoft 365 tenant များတစ်လျှောက် ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခြင်းကို ရပ်တန့်ရန်အတွက် ConnectWise သည် ၂၀၂၆ ခုနှစ် အောက်တိုဘာလ ၁၇ ရက်နေ့တွင် application identity ခုနစ်ခုကို ပိတ်ခဲ့သည်။
- တိုက်ခိုက်သူများသည် အနည်းဆုံး Microsoft 365 ပတ်ဝန်းကျင် ၁၇၃ ခုကို မိတ်ဖက်နှင့် ဖောက်သည်များ ချိုးဖောက်ရန်အတွက် ConnectWise အထောက်အထားများကို အသုံးပြုခဲ့ကြသည်။
- အန္တရာယ်ရှိသော npm package imgdecode သည် decrypt လုပ်ထားသော shellcode ကို dllhost.exe ထဲသို့ fetch လုပ်ပြီး inject လုပ်သည့် Windows DLL ကို load လုပ်သည်။