Credenziale compromessa di ConnectWise Cloud Backup usata per accedere a tenant Microsoft 365

ConnectWise ha sospeso il servizio Cloud Backup, il prodotto di backup per Microsoft 365 noto in precedenza come SkyKick, dopo aver rilevato accessi non autorizzati a identità applicative a esso collegate. Le società di sicurezza Huntress e Todyl, oltre a Microsoft, hanno riferito che un attaccante ha usato la credenziale dell'applicazione di backup per autenticarsi direttamente nei tenant Microsoft 365 dei clienti e ottenere token di accesso Microsoft Graph, ereditando gli ampi permessi che i clienti avevano già concesso all'app. Secondo BleepingComputer e The Hacker News, Microsoft Threat Intelligence lo ha definito un attacco attivo alla supply chain, ha dichiarato di aver osservato attività di ricognizione tramite Graph API e tentativi di aggiungere credenziali per mantenere un accesso backdoor, e ha valutato che permessi concessi in precedenza come Directory.ReadWrite.All siano stati probabilmente sfruttati in modo abusivo.

ConnectWise ha dichiarato nel suo avviso di aver individuato il problema all'inizio della settimana e di aver reso noto per la prima volta il 16 ottobre un tentativo di accesso non autorizzato. Sabato mattina presto ha comunicato che stava interrompendo l'accesso dell'applicazione Cloud Backup, sospendendo i backup fino a nuovo avviso. Un aggiornamento successivo ha precisato che l'azienda ha revocato i certificati delle connessioni applicative interessate per tutti gli utenti, che le credenziali condivise su cui si basava il servizio non funzionano più e che una società esterna di incident response sta fornendo assistenza. ConnectWise ha dichiarato di non aver visto da allora alcuna attività malevola riuscita negli ambienti che monitora e di non avere prove che gli archivi di backup cifrati siano stati consultati. Ha aggiunto che, per come è progettato, il servizio non le dà alcuna visibilità sugli ambienti dei clienti a valle, per cui non è in grado di stabilire da sola se un determinato tenant sia stato colpito. Non è stato accertato se una falla del prodotto abbia avuto un ruolo, e il modo in cui la credenziale è stata esposta è ancora oggetto di indagine. Non è stato indicato alcun tempo di ripristino.

Il numero di tenant colpiti varia a seconda della fonte. Huntress ha scritto che, alle 19:00 UTC di venerdì, aveva confermato accessi non autorizzati in 162 tenant, e BleepingComputer ha riportato il dato di Huntress come almeno 162. The Hacker News ha riferito che Huntress aveva osservato accessi non autorizzati confermati in 173 tenant. Todyl, come citato da BleepingComputer, ha esaminato le intrusioni in nove tenant e ha riscontrato solo attività di accesso, senza alcuna indicazione che l'attaccante abbia creato account, aggiunto permessi, reimpostato gli accessi degli utenti o ottenuto persistenza tramite l'app di backup. L'avviso di ConnectWise non indica alcun numero di tenant, e Huntress ha osservato che la credenziale funziona ovunque all'app sia stato concesso il consenso, quindi l'esposizione non è limitata ai casi confermati.

Huntress ha dichiarato che gli accessi del 15 ottobre si sono svolti tra le 06:13 e le 08:34 UTC e sono passati da un tenant all'altro a pochi secondi di distanza in ordine sequenziale, cosa che ha interpretato come uno script che lavorava su un elenco di obiettivi. In circa 50 tenant che monitora, i service principal delle app ConnectWise Cloud Management si sono assegnati ruoli di directory, per lo più Exchange Administrator; Huntress ha detto che lo user agent indicava un'automazione del fornitore, ma di non averlo confermato con ConnectWise. In un tenant, l'app Cloud Management per Microsoft Teams si è resa Global Administrator e ha aggiunto nuove credenziali a un'applicazione di gestione MSP e all'applicazione della stessa Huntress in circa cinque minuti, anche se Huntress non ha collegato tale attività all'operatore dietro i successivi accessi dall'IP del provider di hosting. Un aggiornamento di sabato ha indicato un'elevata sicurezza che siano state sfruttate anche le app Cloud Management per Exchange Online, Teams e SharePoint Online. Nell'unico tenant esaminato a fondo, Huntress non ha visto accessi a posta o file, ma ha osservato che le letture della directory tramite Graph non lasciano traccia di audit.

ConnectWise consiglia agli amministratori di controllare la scheda degli accessi dei service principal nei log di accesso di Entra per l'app di backup, cercare origini esterne agli intervalli Microsoft e Azure previsti, verificare nuove credenziali delle app, modifiche a permessi o consensi e accessi ai dati inattesi, e conservare i log pertinenti, precisando che un'anomalia da sola non conferma una compromissione. Huntress raccomanda di disattivare, non eliminare, l'app di backup e qualsiasi app ConnectWise o SkyKick non verificabile, lasciandole disattivate finché ConnectWise non confermi che ogni credenziale è stata reimpostata, di controllare tutte le applicazioni alla ricerca di credenziali aggiunte dal 13 ottobre e di rimuovere ruoli di directory non previsti. Ha avvertito che disattivare un'app non rimuove le credenziali già inserite. Todyl ha affermato che la disattivazione blocca nuovi token, ma quelli già emessi restano utilizzabili fino a 90 minuti e la revoca delle sessioni utente non interrompe l'accesso basato sull'app. Microsoft consiglia di esaminare gli accessi dei service principal da indirizzi IP sconosciuti, le modifiche alle credenziali delle app e le autorizzazioni OAuth legate all'app.