侵害されたConnectWise Cloud Backupの認証情報、Microsoft 365テナントへのサインインに悪用

ConnectWiseは、旧称SkyKickとして知られるMicrosoft 365向けバックアップ製品Cloud Backupサービスについて、関連するアプリケーションIDへの不正アクセスを発見したことを受けて停止した。セキュリティ企業のHuntressとTodyl、そしてMicrosoftは、攻撃者がバックアップアプリケーションの認証情報を使って顧客のMicrosoft 365テナントに直接認証し、Microsoft Graphのアクセストークンを取得して、顧客がすでに同アプリに付与していた広範な権限を引き継いだと報告している。BleepingComputerとThe Hacker Newsによると、Microsoft Threat Intelligenceはこれを進行中のサプライチェーン攻撃と呼び、Graph APIによる偵察と、バックドアアクセスを維持するために認証情報を追加しようとする試みを確認したと述べたうえで、Directory.ReadWrite.Allなど以前に付与された権限が悪用された可能性が高いと評価した。

ConnectWiseはアドバイザリの中で、今週初めにこの問題を特定し、10月16日に不正アクセスの試みを初めて公表したと述べた。土曜日の早朝には、Cloud Backupアプリケーションのアクセスを遮断し、追って通知するまでバックアップを停止するとした。その後の更新では、同社がすべてのユーザーを対象に影響を受けたアプリケーション接続の証明書を失効させたこと、同サービスが依存していた共有認証情報はもはや機能しないこと、外部のインシデント対応企業が支援にあたっていることを明らかにした。ConnectWiseは、それ以降、同社が監視する環境で成功した脅威活動は確認しておらず、暗号化されたバックアップアーカイブにアクセスされた証拠はないとしている。また、同サービスの設計上、下流の顧客環境を見通す手段がないため、特定のテナントが影響を受けたかどうかを自社だけでは判断できないと付け加えた。製品の欠陥が関与したかどうかは明らかになっておらず、認証情報がどのように漏えいしたかは引き続き調査中である。復旧時期は示されていない。

影響を受けたテナントの数は情報源によって異なる。Huntressは、金曜日の19:00 UTC時点で162のテナントにおける不正サインインを確認したと記しており、BleepingComputerはHuntressの数字を少なくとも162と報じた。The Hacker Newsは、Huntressが173のテナントで確認済みの不正サインインを観測したと報じた。BleepingComputerが引用したTodylは、9つのテナントへの侵入を調査し、サインイン活動のみを確認したとしており、攻撃者がアカウントを作成したり、権限を追加したり、ユーザーのログインをリセットしたり、バックアップアプリを通じて永続化を得たりした兆候はなかったという。ConnectWiseのアドバイザリにはテナント数は記載されておらず、Huntressは、この認証情報はアプリに同意が付与されているあらゆる場所で機能するため、影響は確認済みの事例に限定されないと指摘した。

Huntressによると、10月15日のサインインは06:13から08:34 UTCの間に行われ、並べ替えられた順に数秒間隔でテナントを移っていったことから、同社はこれを標的リストに基づいて動作するスクリプトによるものと解釈した。同社が監視する約50のテナントでは、ConnectWise Cloud Managementアプリのサービスプリンシパルが自らにディレクトリロール、主にExchange管理者ロールを割り当てていた。Huntressは、ユーザーエージェントはベンダーの自動化処理を示していたが、この点をConnectWiseに確認してはいないと述べた。あるテナントでは、Microsoft Teams向けのCloud Managementアプリが約5分のうちに自らをグローバル管理者にし、MSPの管理アプリケーションとHuntress自身のアプリケーションに新たな認証情報を追加したが、Huntressはこの活動を、その後ホスティングプロバイダーのIPから行われたサインインの背後にいる実行者とは結び付けていない。土曜日の更新では、Exchange Online、Teams、SharePoint OnlineのCloud Managementアプリも悪用されたと高い確度で判断しているとした。詳しく調べた1つのテナントでは、Huntressはメールやファイルへのアクセスを確認しなかったが、Graphによるディレクトリの読み取りは監査証跡を残さないと指摘した。

ConnectWiseは管理者に対し、Entraのサインインログでバックアップアプリのサービスプリンシパルのサインインタブを確認し、想定されるMicrosoftおよびAzureの範囲外からの接続元を探すとともに、新しいアプリ認証情報、権限や同意の変更、予期しないデータアクセスを確認し、関連するログを保全するよう助言しており、異常があるだけでは侵害が確定するわけではないとしている。Huntressは、バックアップアプリと、検証できないConnectWiseまたはSkyKickのアプリを削除せずに無効化し、すべての認証情報がリセットされたことをConnectWiseが確認するまで無効のままにすること、10月13日以降に追加された認証情報がないかすべてのアプリケーションを確認すること、意図しないディレクトリロールを削除することを推奨している。同社は、アプリを無効化してもすでに仕込まれた認証情報は削除されないと警告した。Todylは、無効化によって新たなトークンの発行は止まるが、発行済みのトークンは最大90分間使用可能であり、ユーザーセッションを失効させてもアプリベースのアクセスは終了しないと述べた。Microsoftは、見慣れないIPアドレスからのサービスプリンシパルのサインイン、アプリ認証情報の変更、同アプリに関連するOAuth許可を調べるよう助言している。