Παραβιασμένο διαπιστευτήριο του ConnectWise Cloud Backup χρησιμοποιήθηκε για σύνδεση σε tenants του Microsoft 365

Η ConnectWise ανέστειλε την υπηρεσία Cloud Backup, το προϊόν αντιγράφων ασφαλείας για το Microsoft 365 που παλαιότερα ήταν γνωστό ως SkyKick, αφού εντόπισε μη εξουσιοδοτημένη πρόσβαση σε ταυτότητες εφαρμογών που συνδέονται με αυτό. Οι εταιρείες ασφαλείας Huntress και Todyl, καθώς και η Microsoft, ανέφεραν ότι ένας επιτιθέμενος χρησιμοποίησε το διαπιστευτήριο της εφαρμογής backup για να πιστοποιηθεί απευθείας σε tenants του Microsoft 365 πελατών και να αποκτήσει tokens πρόσβασης του Microsoft Graph, κληρονομώντας τα ευρεία δικαιώματα που οι πελάτες είχαν ήδη παραχωρήσει στην εφαρμογή. Σύμφωνα με τα BleepingComputer και The Hacker News, η Microsoft Threat Intelligence το χαρακτήρισε ενεργή επίθεση στην εφοδιαστική αλυσίδα, ανέφερε ότι παρατήρησε αναγνώριση μέσω του Graph API και απόπειρες προσθήκης διαπιστευτηρίων για διατήρηση πρόσβασης μέσω backdoor, και εκτίμησε ότι δικαιώματα που είχαν παραχωρηθεί προηγουμένως, όπως το Directory.ReadWrite.All, πιθανότατα έγιναν αντικείμενο κατάχρησης.

Η ConnectWise ανέφερε στην ενημέρωσή της ότι εντόπισε το πρόβλημα νωρίτερα μέσα στην εβδομάδα και γνωστοποίησε για πρώτη φορά απόπειρες μη εξουσιοδοτημένης πρόσβασης στις 16 Οκτωβρίου. Νωρίς το Σάββατο ανακοίνωσε ότι διακόπτει την πρόσβαση της εφαρμογής Cloud Backup, σταματώντας τα αντίγραφα ασφαλείας μέχρι νεωτέρας. Μεταγενέστερη ενημέρωση ανέφερε ότι η εταιρεία ανακάλεσε τα πιστοποιητικά για τις επηρεαζόμενες συνδέσεις εφαρμογών για όλους τους χρήστες, ότι τα κοινόχρηστα διαπιστευτήρια στα οποία βασιζόταν η υπηρεσία δεν λειτουργούν πλέον και ότι συνδράμει εξωτερική εταιρεία αντιμετώπισης περιστατικών. Η ConnectWise δήλωσε ότι από τότε δεν έχει δει καμία επιτυχημένη κακόβουλη δραστηριότητα στα περιβάλλοντα που παρακολουθεί και ότι δεν έχει στοιχεία πως έγινε πρόσβαση στα κρυπτογραφημένα αρχεία αντιγράφων ασφαλείας. Πρόσθεσε ότι ο σχεδιασμός της υπηρεσίας δεν της παρέχει καμία ορατότητα στα περιβάλλοντα των πελατών κατάντη, οπότε δεν μπορεί να διαπιστώσει μόνη της αν ένα συγκεκριμένο tenant επηρεάστηκε. Δεν έχει διαπιστωθεί αν κάποιο σφάλμα του προϊόντος έπαιξε ρόλο, ενώ ο τρόπος με τον οποίο εκτέθηκε το διαπιστευτήριο παραμένει υπό διερεύνηση. Δεν έχει δοθεί χρόνος αποκατάστασης.

Ο αριθμός των επηρεαζόμενων tenants διαφέρει ανάλογα με την πηγή. Η Huntress έγραψε ότι, έως τις 19:00 UTC της Παρασκευής, είχε επιβεβαιώσει μη εξουσιοδοτημένες συνδέσεις σε 162 tenants, και το BleepingComputer μετέδωσε τον αριθμό της Huntress ως τουλάχιστον 162. Το The Hacker News ανέφερε ότι η Huntress είχε παρατηρήσει επιβεβαιωμένες μη εξουσιοδοτημένες συνδέσεις σε 173 tenants. Η Todyl, όπως την επικαλείται το BleepingComputer, εξέτασε εισβολές σε εννέα tenants και βρήκε μόνο δραστηριότητα σύνδεσης, χωρίς καμία ένδειξη ότι ο επιτιθέμενος δημιούργησε λογαριασμούς, πρόσθεσε δικαιώματα, επανέφερε τα στοιχεία σύνδεσης χρηστών ή απέκτησε μόνιμη παρουσία μέσω της εφαρμογής backup. Η ενημέρωση της ConnectWise δεν αναφέρει αριθμό tenants, και η Huntress σημείωσε ότι το διαπιστευτήριο λειτουργεί όπου έχει δοθεί συναίνεση στην εφαρμογή, άρα η έκθεση δεν περιορίζεται στις επιβεβαιωμένες περιπτώσεις.

Η Huntress ανέφερε ότι οι συνδέσεις της 15ης Οκτωβρίου έγιναν μεταξύ 06:13 και 08:34 UTC και πέρασαν από tenant σε tenant με διαφορά λίγων δευτερολέπτων, σε ταξινομημένη σειρά, κάτι που ερμήνευσε ως script που δούλευε με βάση λίστα στόχων. Σε περίπου 50 tenants που παρακολουθεί, service principals εφαρμογών ConnectWise Cloud Management ανέθεσαν στον εαυτό τους ρόλους καταλόγου, κυρίως Exchange Administrator· η Huntress είπε ότι το user agent παρέπεμπε σε αυτοματισμό του προμηθευτή, αλλά δεν το είχε επιβεβαιώσει με τη ConnectWise. Σε ένα tenant, η εφαρμογή Cloud Management για το Microsoft Teams ανέθεσε στον εαυτό της τον ρόλο Global Administrator και πρόσθεσε νέα διαπιστευτήρια σε μια εφαρμογή διαχείρισης MSP και στην ίδια την εφαρμογή της Huntress μέσα σε περίπου πέντε λεπτά, αν και η Huntress δεν έχει συνδέσει αυτή τη δραστηριότητα με τον χειριστή πίσω από τις μεταγενέστερες συνδέσεις από την IP του παρόχου φιλοξενίας. Σε ενημέρωση του Σαββάτου η Huntress εκτίμησε με υψηλή βεβαιότητα ότι έγινε κατάχρηση και των εφαρμογών Cloud Management για Exchange Online, Teams και SharePoint Online. Στο μοναδικό tenant που εξέτασε διεξοδικά, η Huntress δεν είδε πρόσβαση σε αλληλογραφία ή αρχεία, σημείωσε όμως ότι οι αναγνώσεις καταλόγου μέσω Graph δεν αφήνουν ίχνη ελέγχου.

Η ConnectWise συνιστά στους διαχειριστές να ελέγξουν την καρτέλα συνδέσεων service principal στα αρχεία συνδέσεων του Entra για την εφαρμογή backup, να αναζητήσουν πηγές εκτός των αναμενόμενων εύρων Microsoft και Azure, να εξετάσουν νέα διαπιστευτήρια εφαρμογών, αλλαγές δικαιωμάτων ή συναίνεσης και απρόσμενη πρόσβαση σε δεδομένα, και να διατηρήσουν τα σχετικά αρχεία, σημειώνοντας ότι μια ανωμαλία από μόνη της δεν επιβεβαιώνει παραβίαση. Η Huntress συνιστά απενεργοποίηση, όχι διαγραφή, της εφαρμογής backup και κάθε εφαρμογής ConnectWise ή SkyKick που δεν μπορεί να επαληθευτεί, διατήρησή τους εκτός λειτουργίας έως ότου η ConnectWise επιβεβαιώσει την επαναφορά όλων των διαπιστευτηρίων, έλεγχο όλων των εφαρμογών για διαπιστευτήρια που προστέθηκαν από τις 13 Οκτωβρίου και αφαίρεση ακούσιων ρόλων καταλόγου. Η Huntress προειδοποίησε ότι η απενεργοποίηση εφαρμογής δεν αφαιρεί ήδη τοποθετημένα διαπιστευτήρια. Η Todyl ανέφερε ότι η απενεργοποίηση σταματά την έκδοση νέων tokens, αλλά όσα έχουν ήδη εκδοθεί παραμένουν σε ισχύ έως και 90 λεπτά, ενώ η ανάκληση συνεδριών χρηστών δεν τερματίζει την πρόσβαση μέσω εφαρμογής. Η Microsoft συνιστά έλεγχο των συνδέσεων service principal από άγνωστες διευθύνσεις IP, καθώς και των αλλαγών στα διαπιστευτήρια και των παραχωρήσεων OAuth της εφαρμογής.