ConnectWise delinea il ritorno del servizio. Gli ambienti dei clienti vanno verificati a parte
L’accesso al ripristino dei backup dovrebbe precedere la riattivazione completa, dopo i test. Archivi preservati e connessioni Microsoft 365 sicure sono verifiche diverse.
ConnectWise ha indicato l’ordine previsto per il ritorno di Cloud Backup: prima l’accesso per ripristinare i backup esistenti, poi la riattivazione completa attraverso una nuova registrazione per fasi. Nell’aggiornamento del 23 ottobre, pubblicato alle 01:00 UTC, l’azienda prevede di completare test e verifiche di sicurezza entro la fine del weekend. L’accesso al ripristino dovrebbe arrivare all’inizio della prossima settimana, a condizione che le verifiche abbiano esito positivo.
È un piano di recupero del servizio, non un invito a riconnettersi oggi. ConnectWise continua a chiedere di mantenere disabilitate le connessioni applicative coinvolte finché non saranno disponibili istruzioni valide per il proprio servizio. Nel frattempo, gli amministratori devono ricostruire che cosa sia accaduto dentro ciascun ambiente Microsoft 365 collegato.
L’archivio dei backup e la via d’accesso sono due risorse diverse
ConnectWise afferma che gli archivi esistenti restano cifrati, isolati e preservati, senza indicazioni di compromissione. È un’informazione utile sulle copie conservate. Non stabilisce però se un attaccante abbia usato l’identità di un’applicazione per raggiungere i sistemi attivi da cui quelle copie provenivano.
Un’integrazione può essere autorizzata ad agire senza che una persona effettui ogni volta l’accesso. È ciò che rende pratico il backup automatico: il servizio ha bisogno di un collegamento durevole con i dati. Lo stesso rapporto diventa rischioso quando qualcun altro ottiene il controllo delle credenziali applicative. La password personale dell’utente non deve necessariamente essere la chiave usata per entrare.
Tenere separate le domande impedisce di trasformare una rassicurazione su una risorsa in una conclusione non dimostrata sull’altra. Aiuta anche a distribuire il lavoro: il fornitore può ripristinare il proprio servizio mentre il cliente verifica le modifiche nel proprio ambiente.
Un’applicazione fidata può lasciare una seconda porta
L’indagine di Microsoft attribuisce la campagna a Storm-0940 e descrive l’abuso di identità applicative seguito, in alcuni ambienti, da operazioni su Microsoft Graph e sulle directory. Le indicazioni difensive comprendono l’esame degli accessi delle identità di servizio e delle modifiche inattese a credenziali o privilegi. Un’autenticazione riuscita, da sola, non dimostra il furto di dati.
Il motivo per controllare le azioni successive è concreto. Disabilitare il collegamento inizialmente compromesso chiude quel collegamento. Non elimina automaticamente un’altra credenziale o autorizzazione che l’attaccante potrebbe aver già creato. Servono quindi la cronologia delle attività e la verifica dei cambiamenti, oltre all’elenco delle integrazioni oggi disabilitate.
Le osservazioni indipendenti di Wiz Research descrivono tentativi automatizzati prolungati contro fornitori software. Sono un motivo per considerare la rapidità operativa degli attacchi; non trasformano ogni tentativo in una violazione riuscita. Restano da distinguere gli accessi falliti, quelli ottenuti e le operazioni successive.
Ricollegarsi dovrebbe concludere una verifica
La sequenza pratica consiste nel preservare i registri pertinenti, seguire le istruzioni di contenimento, esaminare l’ambiente coinvolto e adottare la procedura specifica quando sarà disponibile. Microsoft sconsiglia esplicitamente di cancellare le applicazioni aziendali come prima risposta: configurazione ed evidenze servono all’indagine.
Il problema riguarda anche aziende e fornitori di servizi italiani: dipende dall’integrazione, non da un lancio commerciale limitato a un Paese. Il nostro articolo sulla risposta di Railway alle credenziali esposte affrontava un incidente diverso, con la stessa necessità di separare il ritorno delle funzioni dall’eliminazione degli accessi indesiderati.
Vedere funzionare di nuovo il pulsante di backup sarà un sollievo. Il traguardo più solido è poter spiegare perché le identità dietro quel pulsante siano proprio quelle che l’organizzazione intende autorizzare.
