Cosa è successo
Il 20 febbraio 2025, Microsoft ha iniziato a segnalarci attività non autorizzate da parte di un attore malintenzionato legato a uno Stato, sulla base dei dati raccolti negli ambienti Azure. Commvault ha immediatamente avviato un’indagine con l’assistenza dei principali esperti di sicurezza informatica e ha pubblicato un avviso di sicurezza.
Stiamo collaborando con le autorità competenti e con i clienti notoriamente presi di mira man mano che riceviamo nuove informazioni. Ad aprile, Microsoft ha fornito nuove informazioni sulle minacce e noi abbiamo pubblicato un aggiornamento dell’avviso di sicurezza.
Cosa c’è di nuovo
Secondo gli esperti del settore, questo autore della minaccia utilizza tecniche sofisticate per tentare di ottenere l’accesso agli ambienti M365 dei clienti. Le nostre indagini condotte finora indicano che questo autore della minaccia potrebbe aver avuto accesso a una parte delle credenziali delle app che alcuni clienti Commvault utilizzano per autenticarsi nei propri ambienti M365. In risposta a ciò, Commvault ha adottato diverse misure correttive, descritte in dettaglio di seguito, tra cui la rotazione delle credenziali. Commvault continua ad aggiornare gli indicatori di compromissione (IOC) per consentire ai clienti di condurre indagini all’interno dei propri ambienti M365.
Dalla nostra indagine è emerso che non si sono verificati accessi non autorizzati ai dati di backup dei clienti archiviati e protetti da Commvault, né si sono registrati impatti significativi sulle nostre operazioni aziendali o sulla nostra capacità di fornire prodotti e servizi.
Cosa stiamo facendo per proteggere i clienti:
- Rotazione delle credenziali delle app per M365 gestita da Commvault e potenziamento del monitoraggio della sicurezza.
- Aggiornamento delle note di sicurezza, delle best practice e degli IOC.
- Offriamo configurazioni opzionali in linea con le più recenti raccomandazioni di sicurezza di Microsoft.
- Promuoviamo la segnalazione responsabile delle vulnerabilità e l’applicazione delle patch, in particolare per CVE-2025-3928, che è il CVE attualmente noto correlato alla presente nota di sicurezza.
- Continuiamo le nostre indagini man mano che riceviamo informazioni sulle minacce.
Misure consigliate per i clienti:
- Per i clienti SaaS che hanno implementato applicazioni personalizzate
- Aggiornare al più presto le credenziali dell’app per M365 utilizzate da Commvault.
- Convalidare nuovamente la registrazione per garantire la corretta definizione dell’ambito e delle autorizzazioni.
- Applicare le politiche di accesso condizionato a qualsiasi app a tenant singolo in uso.
- Applicare il principio dell’accesso con privilegi minimi tramite autorizzazioni con ambito ben definito.
- Rimanete aggiornati sui bollettini sulle minacce di Microsoft e sugli aggiornamenti di Commvault.
- Esaminare i registri di audit di EntraID utilizzando gli IOC.
I clienti che hanno domande possono contattarci all’indirizzo SecurityAdvisory@commvault.com.
