Kompromitovaný přihlašovací údaj služby ConnectWise Cloud Backup posloužil k přihlášení do tenantů Microsoft 365

ConnectWise pozastavil svou službu Cloud Backup, produkt pro zálohování Microsoft 365 dříve známý jako SkyKick, poté co zjistil neoprávněný přístup k aplikačním identitám, které s ní souvisejí. Bezpečnostní firmy Huntress a Todyl i Microsoft uvedly, že útočník použil přihlašovací údaj zálohovací aplikace k přímému ověření v zákaznických tenantech Microsoft 365 a k získání přístupových tokenů Microsoft Graph, čímž zdědil rozsáhlá oprávnění, která zákazníci aplikaci již dříve udělili. Podle BleepingComputer a The Hacker News označila Microsoft Threat Intelligence incident za aktivní útok na dodavatelský řetězec, uvedla, že zaznamenala průzkum přes Graph API a pokusy o přidání přihlašovacích údajů k udržení přístupu zadními vrátky, a vyhodnotila, že dříve udělená oprávnění jako Directory.ReadWrite.All byla pravděpodobně zneužita.

ConnectWise ve svém bezpečnostním upozornění uvedl, že problém zjistil na začátku týdne a o pokusu o neoprávněný přístup poprvé informoval 16. října. V sobotu brzy ráno oznámil, že odpojuje přístup aplikace Cloud Backup, čímž se zálohování až do odvolání zastavuje. Pozdější aktualizace uvedla, že společnost odvolala certifikáty pro dotčená aplikační připojení u všech uživatelů, že sdílené přihlašovací údaje, na nichž služba závisela, již nefungují a že pomáhá externí firma pro reakci na incidenty. ConnectWise uvedl, že od té doby nezaznamenal v prostředích, která monitoruje, žádnou úspěšnou aktivitu útočníků, a nemá žádné důkazy o tom, že by někdo přistoupil k šifrovaným zálohovým archivům. Dodal, že kvůli architektuře služby nemá žádný náhled do navazujících zákaznických prostředí, a nemůže tak sám zjistit, zda byl konkrétní tenant zasažen. Zda sehrála roli chyba v produktu, nebylo zjištěno, a způsob, jakým byl přihlašovací údaj vyzrazen, je stále předmětem vyšetřování. Žádný termín obnovení služby nebyl uveden.

Počet zasažených tenantů se podle zdroje liší. Huntress napsal, že k 19:00 UTC v pátek potvrdil neoprávněná přihlášení ve 162 tenantech, a BleepingComputer uvedl údaj společnosti Huntress jako nejméně 162. The Hacker News uvedl, že Huntress zaznamenal potvrzená neoprávněná přihlášení ve 173 tenantech. Todyl, jak jej cituje BleepingComputer, zkoumal průniky v 9 tenantech a zjistil pouze přihlašovací aktivitu, bez náznaku, že by útočník vytvořil účty, přidal oprávnění, resetoval přihlášení uživatelů nebo získal trvalý přístup prostřednictvím zálohovací aplikace. Upozornění ConnectWise neuvádí žádný počet tenantů a Huntress poznamenal, že přihlašovací údaj funguje všude, kde byl aplikaci udělen souhlas, takže expozice není omezena na potvrzené případy.

Huntress uvedl, že přihlášení 15. října probíhala mezi 06:13 a 08:34 UTC a procházela tenanty s odstupem několika sekund v seřazeném pořadí, což vyložil jako skript pracující se seznamem cílů. Přibližně v 50 tenantech, které monitoruje, si instanční objekty služby aplikací ConnectWise Cloud Management samy přidělily role v adresáři, většinou Exchange Administrator; Huntress uvedl, že user agent ukazoval na automatizaci dodavatele, ale že to s ConnectWise nepotvrdil. V jednom tenantu si aplikace Cloud Management pro Microsoft Teams sama přidělila roli Global Administrator a zhruba během pěti minut přidala nové přihlašovací údaje aplikaci pro správu MSP a vlastní aplikaci společnosti Huntress, Huntress však tuto aktivitu nespojil s operátorem stojícím za pozdějšími přihlášeními z IP adresy poskytovatele hostingu. Sobotní aktualizace uvedla, že s vysokou jistotou byly zneužity také aplikace Cloud Management pro Exchange Online, Teams a SharePoint Online. V jediném tenantu, který podrobně prověřil, Huntress nezaznamenal žádný přístup k poště ani souborům, upozornil však, že čtení adresáře přes Graph nezanechává žádnou auditní stopu.

ConnectWise doporučuje správcům zkontrolovat v protokolech přihlášení Entra kartu přihlášení instančních objektů služby pro zálohovací aplikaci, hledat zdroje mimo očekávané rozsahy Microsoft a Azure, prověřit nové přihlašovací údaje aplikací, změny oprávnění či souhlasů a neočekávaný přístup k datům a uchovat příslušné protokoly, přičemž upozorňuje, že samotná anomálie kompromitaci nepotvrzuje. Huntress doporučuje zálohovací aplikaci a každou aplikaci ConnectWise či SkyKick, kterou nelze ověřit, zakázat, nikoli smazat, nechat je vypnuté, dokud ConnectWise nepotvrdí resetování všech přihlašovacích údajů, zkontrolovat u všech aplikací přihlašovací údaje přidané od 13. října a odebrat nezamýšlené role v adresáři. Varoval, že zakázání aplikace neodstraní již podstrčené přihlašovací údaje. Todyl uvedl, že zakázání zastaví vydávání nových tokenů, ale již vydané tokeny zůstávají použitelné až 90 minut a odvolání uživatelských relací neukončí přístup založený na aplikaci. Microsoft doporučuje prověřit přihlášení instančních objektů služby z neznámých IP adres, změny přihlašovacích údajů aplikací a udělená oprávnění OAuth spojená s aplikací.