Kredensial ConnectWise Cloud Backup yang disusupi dipakai untuk masuk ke tenant Microsoft 365

ConnectWise menangguhkan layanan Cloud Backup, produk pencadangan Microsoft 365 yang sebelumnya dikenal sebagai SkyKick, setelah menemukan akses tidak sah ke identitas aplikasi yang terkait dengannya. Perusahaan keamanan Huntress dan Todyl, serta Microsoft, melaporkan bahwa penyerang memakai kredensial aplikasi pencadangan itu untuk mengautentikasi langsung ke tenant Microsoft 365 pelanggan dan memperoleh token akses Microsoft Graph, sehingga mewarisi izin luas yang sudah diberikan pelanggan kepada aplikasi tersebut. Menurut BleepingComputer dan The Hacker News, Microsoft Threat Intelligence menyebutnya serangan rantai pasok yang aktif, mengatakan melihat pengintaian melalui Graph API serta upaya menambahkan kredensial untuk mempertahankan akses pintu belakang, dan menilai bahwa izin yang sebelumnya diberikan seperti Directory.ReadWrite.All kemungkinan telah disalahgunakan.

ConnectWise menyatakan dalam advisorinya bahwa pihaknya mengidentifikasi masalah itu awal pekan ini dan pertama kali mengungkap upaya akses tidak sah pada 16 Oktober. Sabtu dini hari perusahaan mengatakan memutus akses aplikasi Cloud Backup, sehingga pencadangan terhenti hingga pemberitahuan lebih lanjut. Pembaruan berikutnya menyebut perusahaan telah mencabut sertifikat untuk koneksi aplikasi yang terdampak bagi semua pengguna, bahwa kredensial bersama yang diandalkan layanan itu tidak lagi berfungsi, dan bahwa sebuah firma respons insiden eksternal turut membantu. ConnectWise mengatakan sejak itu tidak melihat aktivitas ancaman yang berhasil di lingkungan yang dipantaunya dan tidak memiliki bukti bahwa arsip cadangan terenkripsi diakses. Perusahaan menambahkan bahwa desain layanan tidak memberinya pandangan ke lingkungan pelanggan di hilir, sehingga ia tidak dapat mengetahui sendiri apakah suatu tenant terdampak. Apakah cacat produk ikut berperan belum dapat dipastikan, dan bagaimana kredensial itu terekspos masih diselidiki. Belum ada waktu pemulihan yang diberikan.

Jumlah tenant terdampak berbeda menurut sumber. Huntress menulis bahwa, per pukul 19:00 UTC hari Jumat, pihaknya telah memastikan login tidak sah di 162 tenant, dan BleepingComputer melaporkan angka Huntress sebagai setidaknya 162. The Hacker News melaporkan bahwa Huntress telah mengamati login tidak sah yang terkonfirmasi di 173 tenant. Todyl, sebagaimana dikutip BleepingComputer, memeriksa intrusi di 9 tenant dan hanya menemukan aktivitas login, tanpa indikasi bahwa penyerang membuat akun, menambahkan izin, mereset login pengguna, atau memperoleh persistensi melalui aplikasi pencadangan. Advisori ConnectWise tidak menyebutkan jumlah tenant, dan Huntress mencatat bahwa kredensial itu berfungsi di mana pun aplikasi telah diberi persetujuan, sehingga paparan tidak terbatas pada kasus yang terkonfirmasi.

Huntress mengatakan login pada 15 Oktober berlangsung antara pukul 06:13 dan 08:34 UTC dan berpindah antar-tenant berselang beberapa detik dalam urutan tersortir, yang ditafsirkannya sebagai skrip yang bekerja dari daftar target. Di sekitar 50 tenant yang dipantaunya, service principal untuk aplikasi ConnectWise Cloud Management menetapkan peran direktori bagi diri sendiri, sebagian besar Exchange Administrator; Huntress mengatakan user agent mengarah ke otomatisasi vendor, tetapi pihaknya belum mengonfirmasi hal ini dengan ConnectWise. Di satu tenant, aplikasi Cloud Management untuk Microsoft Teams menjadikan dirinya Global Administrator dan menambahkan kredensial baru ke sebuah aplikasi manajemen MSP serta ke aplikasi milik Huntress sendiri dalam sekitar lima menit, meski Huntress belum mengaitkan aktivitas itu dengan operator di balik login berikutnya dari IP penyedia hosting. Pembaruan hari Sabtu menyebut Huntress sangat yakin aplikasi Cloud Management untuk Exchange Online, Teams, dan SharePoint Online juga disalahgunakan. Di satu tenant yang ditelaahnya secara saksama, Huntress tidak melihat akses ke email atau berkas, tetapi mencatat bahwa pembacaan direktori melalui Graph tidak meninggalkan jejak audit.

ConnectWise menyarankan administrator memeriksa tab login service principal di log login Entra untuk aplikasi pencadangan, mencari sumber di luar rentang Microsoft dan Azure yang diharapkan, meninjau kredensial aplikasi baru, perubahan izin atau persetujuan serta akses data yang tidak terduga, dan menyimpan log terkait, seraya mencatat bahwa anomali saja tidak memastikan adanya penyusupan. Huntress merekomendasikan menonaktifkan, bukan menghapus, aplikasi pencadangan dan aplikasi ConnectWise atau SkyKick apa pun yang tidak dapat diverifikasi, membiarkannya nonaktif sampai ConnectWise memastikan setiap kredensial telah direset, memeriksa semua aplikasi untuk kredensial yang ditambahkan sejak 13 Oktober, dan menghapus peran direktori yang tidak dimaksudkan. Huntress memperingatkan bahwa menonaktifkan aplikasi tidak menghapus kredensial yang sudah ditanam. Todyl mengatakan penonaktifan menghentikan token baru, tetapi token yang sudah diterbitkan tetap dapat dipakai hingga 90 menit dan mencabut sesi pengguna tidak mengakhiri akses berbasis aplikasi. Microsoft menyarankan memeriksa login service principal dari alamat IP yang tidak dikenal, perubahan kredensial aplikasi, dan OAuth grant yang terkait dengan aplikasi tersebut.