유출된 ConnectWise Cloud Backup 자격 증명, Microsoft 365 테넌트 로그인에 사용돼

ConnectWise는 이전에 SkyKick으로 알려졌던 Microsoft 365 백업 제품인 Cloud Backup 서비스를, 이와 연결된 애플리케이션 ID에 대한 무단 접근을 발견한 뒤 중단했다. 보안 업체 Huntress와 Todyl, 그리고 Microsoft는 공격자가 백업 애플리케이션의 자격 증명을 이용해 고객의 Microsoft 365 테넌트에 직접 인증하고 Microsoft Graph 액세스 토큰을 획득함으로써, 고객이 이미 해당 앱에 부여한 광범위한 권한을 그대로 물려받았다고 보고했다. BleepingComputer와 The Hacker News에 따르면 Microsoft Threat Intelligence는 이를 진행 중인 공급망 공격이라고 불렀으며, Graph API를 통한 정찰과 백도어 접근을 유지하기 위해 자격 증명을 추가하려는 시도를 확인했다고 밝히고, Directory.ReadWrite.All 등 이전에 부여된 권한이 악용됐을 가능성이 높다고 평가했다.

ConnectWise는 보안 권고문에서 이번 주 초에 문제를 파악했으며 10월 16일 무단 접근 시도를 처음 공개했다고 밝혔다. 토요일 이른 시간에는 Cloud Backup 애플리케이션 접근을 차단해 추후 공지가 있을 때까지 백업을 중단한다고 했다. 이후 업데이트에서는 회사가 모든 사용자를 대상으로 영향을 받은 애플리케이션 연결의 인증서를 폐기했고, 서비스가 의존하던 공유 자격 증명은 더 이상 작동하지 않으며, 외부 사고 대응 업체가 지원하고 있다고 밝혔다. ConnectWise는 그 이후 자사가 모니터링하는 환경에서 성공한 위협 활동을 확인하지 못했으며, 암호화된 백업 아카이브에 접근이 이뤄졌다는 증거도 없다고 말했다. 또한 서비스 설계상 하위 고객 환경을 들여다볼 수 없기 때문에 특정 테넌트가 영향을 받았는지 자체적으로는 판단할 수 없다고 덧붙였다. 제품 결함이 관련됐는지는 확인되지 않았으며, 자격 증명이 어떻게 노출됐는지는 여전히 조사 중이다. 복구 시점은 제시되지 않았다.

영향을 받은 테넌트 수는 출처마다 다르다. Huntress는 금요일 19:00 UTC 기준 162개 테넌트에서 무단 로그인을 확인했다고 밝혔고, BleepingComputer는 Huntress의 수치를 최소 162개로 보도했다. The Hacker News는 Huntress가 173개 테넌트에서 확인된 무단 로그인을 관찰했다고 보도했다. BleepingComputer가 인용한 Todyl은 9개 테넌트의 침입을 조사한 결과 로그인 활동만 발견했으며, 공격자가 계정을 생성하거나 권한을 추가하거나 사용자 로그인을 재설정하거나 백업 앱을 통해 지속성을 확보했다는 징후는 없었다고 밝혔다. ConnectWise의 권고문에는 테넌트 수가 나와 있지 않으며, Huntress는 해당 자격 증명이 앱에 동의가 부여된 모든 곳에서 작동하므로 노출 범위가 확인된 사례에 국한되지 않는다고 지적했다.

Huntress에 따르면 10월 15일의 로그인은 06:13부터 08:34 UTC 사이에 이뤄졌으며 정렬된 순서로 몇 초 간격을 두고 테넌트를 옮겨 다녔는데, 회사는 이를 대상 목록을 바탕으로 작동하는 스크립트로 해석했다. Huntress가 모니터링하는 약 50개 테넌트에서는 ConnectWise Cloud Management 앱의 서비스 주체가 스스로에게 디렉터리 역할, 주로 Exchange 관리자 역할을 할당했다. Huntress는 사용자 에이전트가 공급업체의 자동화를 가리켰지만 이를 ConnectWise에 확인받지는 않았다고 밝혔다. 한 테넌트에서는 Microsoft Teams용 Cloud Management 앱이 약 5분 만에 스스로를 전역 관리자로 만들고 MSP 관리 애플리케이션과 Huntress 자체 애플리케이션에 새 자격 증명을 추가했으나, Huntress는 이 활동을 이후 호스팅 업체 IP에서 이뤄진 로그인의 배후 운영자와 연관 짓지는 않았다. 토요일 업데이트에서는 Exchange Online, Teams, SharePoint Online용 Cloud Management 앱도 악용됐다고 높은 확신을 갖고 있다고 밝혔다. Huntress는 면밀히 검토한 한 테넌트에서 메일이나 파일 접근은 확인하지 못했지만, Graph 디렉터리 읽기는 감사 기록을 남기지 않는다고 지적했다.

ConnectWise는 관리자에게 Entra 로그인 로그에서 백업 앱의 서비스 주체 로그인 탭을 확인하고, 예상되는 Microsoft 및 Azure 범위 밖의 출처를 찾아보며, 새 앱 자격 증명, 권한 또는 동의 변경, 예상치 못한 데이터 접근을 검토하고 관련 로그를 보존하라고 권고하면서, 이상 징후만으로 침해가 확인되는 것은 아니라고 언급했다. Huntress는 백업 앱과 검증할 수 없는 모든 ConnectWise 또는 SkyKick 앱을 삭제하지 말고 비활성화하며 모든 자격 증명이 재설정됐다고 ConnectWise가 확인할 때까지 비활성 상태로 둘 것, 10월 13일 이후 추가된 자격 증명이 있는지 모든 애플리케이션을 점검할 것, 의도하지 않은 디렉터리 역할을 제거할 것을 권장한다. 또한 앱을 비활성화해도 이미 심어진 자격 증명은 제거되지 않는다고 경고했다. Todyl은 비활성화하면 새 토큰 발급은 중단되지만 이미 발급된 토큰은 최대 90분 동안 사용할 수 있으며, 사용자 세션을 폐기해도 앱 기반 접근은 종료되지 않는다고 밝혔다. Microsoft는 익숙하지 않은 IP 주소에서의 서비스 주체 로그인, 앱 자격 증명 변경, 해당 앱과 연결된 OAuth 권한 부여를 살펴볼 것을 권고한다.