Kompromitirane aplikacije ConnectWisea dale su napadačima put do korisničkih okruženja Microsoft 365, izvijestio je Microsoft Threat Intelligence 21. listopada. Tim kampanju pripisuje skupini Storm-0940 i procjenjuje da je alat ARTEX služio automatiziranju dijela napada.
Pogođene aplikacije bile su povezane s više korisničkih organizacija. Postojeće ovlasti aplikacija omogućile su ulaz bez interaktivne prijave korisnika. Microsoft opisuje naknadno izviđanje resursa u oblaku i promjene kojima su operateri pokušavali proširiti ili zadržati pristup.
U nekoliko slučajeva istraživači su primijetili pristup s povišenim ovlastima za manje od tri sata. To vrijeme vrijedi za opažene slučajeve, a ne za sve mete. Microsoft kaže da u istrazi nije našao kompromitaciju ili ranjivost vlastitih proizvoda i usluga.
Veza povjerenja s dobavljačem ključna je za razumijevanje upada. Uz prijave zaposlenika postoje i ovlasti aplikacija. Kampanja je iskoristila taj drugi put.
