פרטי הזדהות שנפרצו של שירות ConnectWise Cloud Backup שימשו להתחברות לדיירי Microsoft 365

ConnectWise השעתה את שירות Cloud Backup שלה, מוצר הגיבוי ל-Microsoft 365 שנודע בעבר בשם SkyKick, לאחר שגילתה גישה לא מורשית לזהויות אפליקציה הקשורות אליו. חברות האבטחה Huntress ו-Todyl, וכן Microsoft, דיווחו כי תוקף השתמש בפרטי ההזדהות של אפליקציית הגיבוי כדי להזדהות ישירות מול דיירי Microsoft 365 של לקוחות ולהשיג אסימוני גישה של Microsoft Graph, ובכך ירש את ההרשאות הרחבות שהלקוחות כבר העניקו לאפליקציה. לפי BleepingComputer ו-The Hacker News, Microsoft Threat Intelligence כינתה זאת מתקפת שרשרת אספקה פעילה, אמרה כי ראתה פעולות סיור באמצעות Graph API וניסיונות להוסיף פרטי הזדהות כדי לשמר גישת דלת אחורית, והעריכה כי הרשאות שהוענקו בעבר, כגון Directory.ReadWrite.All, נוצלו ככל הנראה לרעה.

ConnectWise אמרה בהודעת האבטחה שלה כי זיהתה את הבעיה מוקדם יותר השבוע, וחשפה לראשונה ניסיון גישה לא מורשית ב-16 באוקטובר. בשעות הבוקר המוקדמות של יום שבת אמרה כי היא מנתקת את הגישה של אפליקציית Cloud Backup, וכך עוצרת את הגיבויים עד להודעה חדשה. עדכון מאוחר יותר ציין כי החברה ביטלה את התעודות של חיבורי האפליקציה המושפעים עבור כל המשתמשים, כי פרטי ההזדהות המשותפים שעליהם הסתמך השירות אינם פועלים עוד, וכי חברת תגובה לאירועים חיצונית מסייעת. ConnectWise אמרה כי מאז לא ראתה פעילות זדונית מוצלחת בסביבות שהיא מנטרת, וכי אין לה ראיות לכך שהייתה גישה לארכיוני הגיבוי המוצפנים. היא הוסיפה כי תכנון השירות אינו מעניק לה כל נראות לסביבות הלקוחות שבהמשך השרשרת, ולכן אינה יכולה לדעת בעצמה אם דייר מסוים נפגע. לא נקבע אם פגם במוצר מילא תפקיד, ואופן חשיפת פרטי ההזדהות עדיין נחקר. לא נמסר מועד לשחזור השירות.

מספר הדיירים שנפגעו שונה ממקור למקור. Huntress כתבה כי נכון ל-19:00 UTC ביום שישי אישרה התחברויות לא מורשות ב-162 דיירים, ו-BleepingComputer דיווח על הנתון של Huntress כ-162 לפחות. The Hacker News דיווח כי Huntress צפתה בהתחברויות לא מורשות מאושרות ב-173 דיירים. Todyl, כפי שצוטטה ב-BleepingComputer, בחנה חדירות ב-9 דיירים ומצאה פעילות התחברות בלבד, ללא כל אינדיקציה לכך שהתוקף יצר חשבונות, הוסיף הרשאות, איפס התחברויות משתמשים או השיג התמדה באמצעות אפליקציית הגיבוי. הודעת האבטחה של ConnectWise אינה מציינת מספר דיירים, ו-Huntress ציינה כי פרטי ההזדהות פועלים בכל מקום שבו ניתנה לאפליקציה הסכמה, כך שהחשיפה אינה מוגבלת למקרים המאושרים.

Huntress אמרה כי ההתחברויות ב-15 באוקטובר התרחשו בין 06:13 ל-08:34 UTC ועברו בין הדיירים בהפרש של שניות ספורות לפי סדר ממוין, דבר שפירשה כסקריפט הפועל מתוך רשימת יעדים. בכ-50 דיירים שהיא מנטרת, ישויות שירות (service principals) של אפליקציות ConnectWise Cloud Management הקצו לעצמן תפקידי מדריך, בעיקר Exchange Administrator; Huntress אמרה כי סוכן המשתמש הצביע על אוטומציה של הספק, אך לא אימתה זאת מול ConnectWise. בדייר אחד, אפליקציית Cloud Management עבור Microsoft Teams הפכה את עצמה ל-Global Administrator והוסיפה פרטי הזדהות חדשים לאפליקציית ניהול של MSP ולאפליקציה של Huntress עצמה בתוך כחמש דקות, אם כי Huntress לא קשרה פעילות זו למפעיל שעמד מאחורי ההתחברויות המאוחרות יותר מכתובת ה-IP של ספק האחסון. עדכון ביום שבת ציין כי יש לה ביטחון גבוה שגם אפליקציות Cloud Management של Exchange Online, Teams ו-SharePoint Online נוצלו לרעה. בדייר היחיד שבדקה לעומק, Huntress לא ראתה גישה לדואר או לקבצים, אך ציינה כי קריאות מדריך באמצעות Graph אינן מותירות עקבות ביומן הביקורת.

ConnectWise ממליצה למנהלי מערכת לבדוק את לשונית ההתחברויות של ישויות שירות ביומני ההתחברות של Entra עבור אפליקציית הגיבוי, לחפש מקורות מחוץ לטווחי Microsoft ו-Azure הצפויים, לבחון פרטי הזדהות חדשים של אפליקציות, שינויים בהרשאות או בהסכמות וגישה בלתי צפויה לנתונים, ולשמור את היומנים הרלוונטיים, תוך שהיא מציינת כי חריגה לבדה אינה מאשרת פריצה. Huntress ממליצה להשבית, ולא למחוק, את אפליקציית הגיבוי ואת כל אפליקציה של ConnectWise או SkyKick שלא ניתן לאמת, להשאיר אותן מושבתות עד ש-ConnectWise תאשר שכל פרטי ההזדהות אופסו, לבדוק בכל האפליקציות פרטי הזדהות שנוספו מאז 13 באוקטובר ולהסיר תפקידי מדריך שלא נועדו. היא הזהירה כי השבתת אפליקציה אינה מסירה פרטי הזדהות שכבר הושתלו. Todyl אמרה כי ההשבתה עוצרת הנפקת אסימונים חדשים, אך אסימונים שכבר הונפקו נותרים שמישים עד 90 דקות, וביטול הפעלות משתמשים אינו מפסיק גישה מבוססת אפליקציה. Microsoft ממליצה לבחון התחברויות של ישויות שירות מכתובות IP לא מוכרות, שינויים בפרטי ההזדהות של אפליקציות והרשאות OAuth הקשורות לאפליקציה.