التطبيقات والبرامج

هجوم سلاسل إمداد على ConnectWise يخترق مستأجري Microsoft 365

كشفت تقارير أمنية عن هجوم سلاسل إمداد استهدف خدمة النسخ الاحتياطي لدى ConnectWise، مما أدى إلى اختراق عشرات المستأجرين في بيئة Microsoft 365 وإجبار الشركة على إيقاف الخدمة مؤقتاً.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 17 أكتوبر 2026 · آخر تحديث: 17 أكتوبر 2026 · 5 دقائق قراءة

هجوم سلاسل إمداد على ConnectWise يخترق مستأجري Microsoft 365 — الصورة: BleepingComputer

الخلاصة

أوقفت ConnectWise وصول العملاء إلى خدمة Cloud Backup بعد رصد وصول غير مصرح به إلى هويات التطبيقات.
أكدت Microsoft وHuntress رصد محاولات مصادقة غير مصرح بها من عنوان IP واحد منذ 15 أكتوبر.
استغل المهاجمون أذونات واسعة ممنوحة مسبقاً للتطبيق للوصول إلى البريد والملفات دون الحاجة لتجاوز المصادقة الثنائية.
رصدت فرق الأمن نشاطاً هجوماً ممتداً في بعض المستأجرين شمل منح أدوار إدارية وإضافة بيانات اعتماد جديدة.
توصي الشركات بإلغاء أذونات التطبيقات المتأثرة ومراجعة أي تغييرات في بيانات الاعتماد منذ 13 أكتوبر.

إيقاف الخدمة بعد رصد الاختراق

أعلنت شركة ConnectWise عن إيقاف وصول العملاء إلى خدمة النسخ الاحتياطي السحابي الخاصة بها، والمعروفة سابقاً باسم SkyKick Cloud Backup، وذلك عقب اكتشاف وصول غير مصرح به إلى هويات التطبيقات داخل بيئة الخدمة. جاء هذا الإجراء الاستباقي بعد أن بدأت التقارير عن نشاط خبيث تظهر يوم الجمعة، حيث لاحظ المسؤولون وصولاً غير مصرح به إلى بيانات العملاء في مستأجري Microsoft 365. أكدت شركة Huntress، المنصة المتخصصة في كشف التهديدات، هذه المخاوف بعد تحديد ما لا يقل عن 162 مستأجراً متضرراً في بيئتها المراقبة. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

من جانبها، أكدت Microsoft رصد نشاط خبيث يتعلق بخدمة النسخ الاحتياطي لدى ConnectWise، مشيرة إلى أنها رصدت محاولات مصادقة غير مصرح بها من عنوان IP محدد في 15 أكتوبر. وتوفر حلول النسخ الاحتياطي السحابي لدى ConnectWise خدمات حماية واستعادة البيانات للعملاء في بيئات سحابية مثل Microsoft 365 وGoogle Workspace، مما يجعلها هدفاً جذاباً للهجمات التي تستهدف سلاسل الإمداد التقنية.

آلية استغلال هويات التطبيقات

تعتمد خدمة النسخ الاحتياطي لـ Microsoft 365 على الأذونات الممنوحة عبر Microsoft Entra ID، حيث يمثل ما يُعرف بـ "مبدأ الخدمة" (Service Principal) التطبيق داخل مستأجر العميل ويسمح له بالوصول إلى الموارد وفقاً للأذونات الممنوحة. في نشرة أمنية، ذكرت ConnectWise أنها حددت مؤخراً وصولاً غير مصرح به إلى هويات التطبيقات داخل بيئة Cloud Backup، مما دفعها إلى إيقاف وصول التطبيقات للشركاء والعملاء. وأكدت الشركة أنه لا توجد مؤشرات حتى الآن على أن بيانات النسخ الاحتياطي الشريكة قد تم اختراقها، وأن الأرشيف الحالي غير متأثر بهذا الانقطاع.

وفقاً للباحثين في شركة Todyl، قام المهاجم بالمصادقة مباشرة على Microsoft 365 كتطبيق نسخ احتياطي باستخدام سره الخاص، مما منحه الأذونات التي منحها العملاء مسبقاً. نظرماً لأن طلبات تسجيل الدخول تم تنفيذها بواسطة سكربت آلي ولم تتضمن تسجيل دخول مستخدم، فإن حمايات مثل المصادقة متعددة العوامل (MFA) كانت غير فعالة. وبما أن التطبيق كان يملك بالفعل أذونات واسعة في كل مستأجر، فقد منحت هذه عمليات الدخول المهاجم القدرة التقنية على قراءة وكتابة البريد والمرفقات وملفات OneDrive وSharePoint ومحادثات Teams.

رصد النشاط الهجومي والبقاء في النظام

بناءً على تقارير Microsoft وHuntress والمسؤولين، بدأ النشاط الخبيث على الأقل في 15 أكتوبر من عنوان IP واحد هو 144.172.64[.]128. ذكر مستخدم على Reddit أنه تلقى إشعاراً من خدمة Microsoft Privileged Identity Management (PIM) في 15 أكتوبر يحذر من أن مبدأ خدمة SkyKick منح نفسه دور Exchange Administrator، رغم أنه لم يستخدم التطبيق منذ سنوات. ومع ذلك، تطابق بعض المعرفات المبلغ عنها للهجوم مع تلك التي قدمتها Huntress وMicrosoft وTodyl.

في التحليل الذي أجراه باحثو Todyl على تسعة مستأجرين، تم تحديد نشاط تسجيل دخول فقط دون العثور على أدلة على إنشاء حسابات أو تغيير كلمات مرور أو إنشاء بقاء في النظام. لكن Huntress رصدت في حوالي 50 مستأجراً تراقبه أن مبادئ الخدمة لتطبيقات إدارة السحابة لدى ConnectWise منحت نفسها أدواراً في الدليل، وغالباً دور Exchange Administrator. في أحد المستأجرين، رصد الباحثون أن المهاجم أقام بقاءً في النظام في عملية استغرقت حوالي خمس دقائق، حيث منح تطبيق إدارة Teams نفسه دور Global Administrator وأضاف بيانات اعتماد إلى أداة إدارة MSP وإلى تطبيق Huntress الخاص.

تحليل تقني للهجوم

رصدت Microsoft أيضاً نشاط بقاء عبر باب خلفي بعد المصادقة الناجحة لمبدأ الخدمة، تلتها عمليات استطلاع عبر Microsoft Graph API ومحاولات لإضافة بيانات اعتماد إضافية. لاحظت جميع شركات الأمن السيبراني الثلاث النشاط الخبيث من نفس عنوان IP. صنفت معلومات التهديد لدى Microsoft الحادث كحادث سلاسل إمداد نشط، وتقييمها يشير إلى أن المهاجم استغل على الأرجح أذونات موجودة مسبقاً، بما في ذلك Directory.ReadWrite.All.

حددت Huntress معرف التطبيق الشرعي لخدمة النسخ الاحتياطي السحابي المستخدم في الهجمات، وربطت عنوان IP الخاص بالمهاجم بمحاولات تسجيل دخول آلية في 13 و14 أكتوبر. بناءً على الأدلة الحالية، هناك ثلاثة وكلاء مستخدم (User Agents) مرتبطين بالنشاط الخبيث لخدمة النسخ الاحتياطي: python-urllib/3.12 وpython-requests/2.31 وpython-requests/2.34.2. يشير هذا النمط إلى استخدام أدوات برمجية آلية لتنفيذ الهجوم بدلاً من التفاعل البشري المباشر.

التوصيات والإجراءات التصحيحية

توصي ConnectWise بمسؤولي النظام بفحص عمليات تسجيل الدخول لمبادئ الخدمة في Entra، وتصفيتها حسب معرف تطبيق Cloud Backup، وفحص عناوين المصدر غير المتوقعة. كما توصي Microsoft بمراجعة تغييرات بيانات اعتماد التطبيقات ومنح OAuth والنشاط المرتبط بـ Graph. وتنصح Huntress بإيقاف التطبيقات المتأثرة لدى ConnectWise وفحص بيانات اعتماد التطبيقات لإضافات غير مصرح بها ومراجعة تكاملات إدارة السحابة الأخرى.

من المهم ملاحظة أن إيقاف الخدمة من قبل المورد لا يزيل البيانات الاعتمادية المزروعة مسبقاً في مستأجري العملاء. تقول Huntress إن على المسؤولين مراجعة الأسرار والشهادات عبر جميع التطبيقات لإضافات غير مصرح بها منذ 13 أكتوبر وإزالة تلك الإدخالات. وتحذر Todyl من أن تعطيل التطبيق يوقف إصدار رموز جديدة، لكن الرموز الموجودة تبقى صالحة حتى تنتهي صلاحيتها، وإلغاء جلسات المستخدمين لا ينهي الوصول القائم على التطبيق.

حالة الخدمة الحالية

أعلنت ConnectWise عن انقطاع خدمة النسخ الاحتياطي في الساعة 05:01 بتوقيت UTC في 17 أكتوبر، لكنها لم تقدم جدولاً زمنياً لاستعادة الاتصال. وأكدت الشركة أنها لم ترصد أي دليل على اختراق النسخ الاحتياطي المخزنة، وقالت إن الأرشيفات الحالية ستكون متاحة عند استعادة الخدمات. وفي وقت النشر، لا يزال عدد الضحايا ومدى سرقة البيانات غير واضح، وكذلك الطريقة التي استخدمها المهاجمون للوصول الأولي.