Un identifiant compromis de ConnectWise Cloud Backup utilisé pour se connecter à des tenants Microsoft 365

ConnectWise a suspendu son service Cloud Backup, le produit de sauvegarde pour Microsoft 365 anciennement connu sous le nom de SkyKick, après avoir découvert un accès non autorisé à des identités applicatives qui y sont liées. Les entreprises de sécurité Huntress et Todyl, ainsi que Microsoft, ont rapporté qu'un attaquant avait utilisé l'identifiant de l'application de sauvegarde pour s'authentifier directement auprès de tenants Microsoft 365 de clients et obtenir des jetons d'accès Microsoft Graph, héritant ainsi des larges autorisations que les clients avaient déjà accordées à l'application. Selon BleepingComputer et The Hacker News, Microsoft Threat Intelligence a qualifié l'incident d'attaque active de la chaîne d'approvisionnement, a indiqué avoir observé des activités de reconnaissance via la Graph API et des tentatives d'ajout d'identifiants pour conserver un accès par porte dérobée, et a estimé que des autorisations précédemment accordées, telles que Directory.ReadWrite.All, avaient probablement été détournées.

ConnectWise a indiqué dans son avis de sécurité avoir identifié le problème plus tôt dans la semaine et avoir signalé pour la première fois une tentative d'accès non autorisé le 16 octobre. Tôt samedi, l'entreprise a annoncé qu'elle coupait l'accès de l'application Cloud Backup, ce qui interrompt les sauvegardes jusqu'à nouvel ordre. Une mise à jour ultérieure a précisé que l'entreprise avait révoqué les certificats des connexions applicatives concernées pour tous les utilisateurs, que les identifiants partagés sur lesquels reposait le service ne fonctionnent plus et qu'un cabinet externe de réponse aux incidents lui prête assistance. ConnectWise a déclaré n'avoir constaté depuis aucune activité malveillante réussie dans les environnements qu'elle surveille et ne disposer d'aucune preuve que les archives de sauvegarde chiffrées aient été consultées. Elle a ajouté que la conception du service ne lui donne aucune visibilité sur les environnements clients en aval, de sorte qu'elle ne peut pas déterminer seule si un tenant donné a été touché. Le rôle éventuel d'une faille du produit n'a pas été établi, et la manière dont l'identifiant a été exposé fait toujours l'objet d'une enquête. Aucun délai de rétablissement n'a été communiqué.

Le nombre de tenants touchés varie selon les sources. Huntress a écrit qu'au vendredi 19:00 UTC, elle avait confirmé des connexions non autorisées dans 162 tenants, et BleepingComputer a rapporté le chiffre de Huntress comme étant d'au moins 162. The Hacker News a rapporté que Huntress avait observé des connexions non autorisées confirmées dans 173 tenants. Todyl, cité par BleepingComputer, a examiné des intrusions dans neuf tenants et n'a trouvé que des activités de connexion, sans aucune indication que l'attaquant ait créé des comptes, ajouté des autorisations, réinitialisé des identifiants d'utilisateurs ou obtenu une persistance via l'application de sauvegarde. L'avis de ConnectWise ne donne aucun nombre de tenants, et Huntress a noté que l'identifiant fonctionne partout où l'application a reçu un consentement, de sorte que l'exposition ne se limite pas aux cas confirmés.

Selon Huntress, les connexions du 15 octobre ont eu lieu entre 06:13 et 08:34 UTC et ont parcouru les tenants à quelques secondes d'intervalle, dans un ordre trié, ce qu'elle interprète comme un script suivant une liste de cibles. Dans environ 50 tenants qu'elle surveille, des principaux de service d'applications ConnectWise Cloud Management se sont attribué des rôles d'annuaire, surtout Exchange Administrator ; Huntress a indiqué que l'agent utilisateur évoquait une automatisation du fournisseur, sans l'avoir confirmé auprès de ConnectWise. Dans un tenant, l'application Cloud Management pour Microsoft Teams s'est promue Global Administrator et a ajouté de nouveaux identifiants à une application de gestion MSP et à l'application de Huntress elle-même en cinq minutes environ, mais Huntress n'a pas relié cette activité à l'opérateur à l'origine des connexions ultérieures depuis l'IP d'un hébergeur. Dans une mise à jour samedi, Huntress a estimé avec un haut degré de confiance que les applications Cloud Management pour Exchange Online, Teams et SharePoint Online avaient aussi été détournées. Dans le seul tenant examiné en détail, Huntress n'a vu aucun accès aux e-mails ou aux fichiers, mais a noté que les lectures d'annuaire via Graph ne laissent aucune trace d'audit.

ConnectWise conseille aux administrateurs de vérifier, pour l'application de sauvegarde, l'onglet des connexions de principaux de service dans les journaux Entra, de repérer les sources hors des plages Microsoft et Azure attendues, d'examiner nouveaux identifiants d'application, changements d'autorisations ou de consentement et accès inattendus aux données, et de conserver les journaux utiles, en précisant qu'une anomalie seule ne prouve pas une compromission. Huntress recommande de désactiver, sans les supprimer, l'application de sauvegarde et toute application ConnectWise ou SkyKick non vérifiable, jusqu'à ce que ConnectWise confirme la réinitialisation de tous les identifiants, de vérifier les identifiants ajoutés à toutes les applications depuis le 13 octobre et de retirer les rôles d'annuaire non voulus. Elle a averti que la désactivation ne supprime pas les identifiants déjà implantés. Todyl a indiqué que la désactivation bloque les nouveaux jetons, mais que ceux déjà émis restent valables jusqu'à 90 minutes et que révoquer les sessions utilisateur ne coupe pas l'accès via l'application. Microsoft conseille d'examiner les connexions de principaux de service depuis des adresses IP inconnues, les changements d'identifiants de l'application et ses autorisations OAuth.