Gecompromitteerde referentie van ConnectWise Cloud Backup gebruikt om in te loggen bij Microsoft 365-tenants

ConnectWise heeft zijn dienst Cloud Backup, het Microsoft 365-back-upproduct dat voorheen bekendstond als SkyKick, opgeschort na de ontdekking van ongeautoriseerde toegang tot daaraan gekoppelde applicatie-identiteiten. De beveiligingsbedrijven Huntress en Todyl, evenals Microsoft, hebben gemeld dat een aanvaller de referentie van de back-upapplicatie gebruikte om zich rechtstreeks te authenticeren bij Microsoft 365-tenants van klanten en Microsoft Graph-toegangstokens te verkrijgen, waarbij hij de ruime machtigingen overnam die klanten al aan de app hadden verleend. Volgens BleepingComputer en The Hacker News noemde Microsoft Threat Intelligence het een actieve supply-chainaanval, zei het Graph API-verkenning te hebben gezien en pogingen om referenties toe te voegen om backdoortoegang te behouden, en beoordeelde het dat eerder verleende machtigingen zoals Directory.ReadWrite.All waarschijnlijk zijn misbruikt.

ConnectWise zei in zijn advisory dat het het probleem eerder in de week had vastgesteld en op 16 oktober voor het eerst een poging tot ongeautoriseerde toegang bekendmaakte. Zaterdagochtend vroeg zei het de toegang van de Cloud Backup-applicatie af te sluiten, waardoor back-ups tot nader order stilliggen. Een latere update meldde dat het bedrijf voor alle gebruikers de certificaten van getroffen applicatieverbindingen had ingetrokken, dat de gedeelde referenties waarop de dienst steunde niet meer werken en dat een extern incidentresponsbedrijf assisteert. ConnectWise zei sindsdien geen geslaagde dreigingsactiviteit te hebben gezien in omgevingen die het monitort en geen bewijs te hebben dat de versleutelde back-uparchieven zijn benaderd. Het voegde eraan toe dat het ontwerp van de dienst het geen zicht geeft op downstream klantomgevingen, zodat het zelf niet kan vaststellen of een bepaalde tenant is getroffen. Of een productfout een rol speelde, is niet vastgesteld, en hoe de referentie is uitgelekt, wordt nog onderzocht. Er is geen hersteltijd genoemd.

Het aantal getroffen tenants verschilt per bron. Huntress schreef dat het om 19:00 UTC op vrijdag ongeautoriseerde aanmeldingen in 162 tenants had bevestigd, en BleepingComputer gaf het cijfer van Huntress weer als ten minste 162. The Hacker News meldde dat Huntress bevestigde ongeautoriseerde aanmeldingen in 173 tenants had waargenomen. Todyl onderzocht, zoals geciteerd door BleepingComputer, inbraken in negen tenants en vond alleen aanmeldactiviteit, zonder aanwijzing dat de aanvaller accounts aanmaakte, machtigingen toevoegde, gebruikersaanmeldingen resette of via de back-upapp persistentie verkreeg. De advisory van ConnectWise noemt geen aantal tenants, en Huntress merkte op dat de referentie werkt overal waar de app toestemming heeft gekregen, dus de blootstelling is niet beperkt tot bevestigde gevallen.

Huntress zei dat de aanmeldingen van 15 oktober tussen 06:13 en 08:34 UTC plaatsvonden en met enkele seconden tussenruimte in gesorteerde volgorde door de tenants gingen, wat het opvatte als een script dat een doelwittenlijst afwerkte. In ongeveer 50 tenants die het monitort, kenden service principals van ConnectWise Cloud Management-apps zichzelf directoryrollen toe, meestal Exchange Administrator; Huntress zei dat de user agent op automatisering door de leverancier wees, maar dat het dit niet met ConnectWise had bevestigd. In één tenant maakte de Cloud Management-app voor Microsoft Teams zichzelf Global Administrator en voegde die in ongeveer vijf minuten nieuwe referenties toe aan een MSP-beheerapplicatie en aan de eigen applicatie van Huntress, al heeft Huntress die activiteit niet gekoppeld aan de operator achter de latere aanmeldingen vanaf het IP-adres van de hostingprovider. Een update van zaterdag meldde dat het met grote zekerheid aanneemt dat ook de Cloud Management-apps voor Exchange Online, Teams en SharePoint Online zijn misbruikt. In de ene tenant die het grondig bekeek, zag Huntress geen toegang tot mail of bestanden, maar het merkte op dat leesacties op de Graph-directory geen audittrail achterlaten.

ConnectWise adviseert beheerders om in de Entra-aanmeldlogboeken het tabblad met aanmeldingen van service principals voor de back-upapp te controleren, te letten op bronnen buiten de verwachte Microsoft- en Azure-bereiken, nieuwe app-referenties, wijzigingen in machtigingen of toestemmingen en onverwachte datatoegang te beoordelen en relevante logs te bewaren, waarbij het opmerkt dat een afwijking op zich geen compromittering bevestigt. Huntress raadt aan de back-upapp en elke ConnectWise- of SkyKick-app die niet te verifiëren is uit te schakelen, niet te verwijderen, ze uit te laten tot ConnectWise bevestigt dat elke referentie is gereset, alle applicaties te controleren op referenties die sinds 13 oktober zijn toegevoegd en onbedoelde directoryrollen te verwijderen. Het waarschuwde dat het uitschakelen van een app al geplaatste referenties niet verwijdert. Todyl zei dat uitschakelen nieuwe tokens tegenhoudt, maar dat uitgegeven tokens tot 90 minuten bruikbaar blijven en dat het intrekken van gebruikerssessies op apps gebaseerde toegang niet beëindigt. Microsoft adviseert aanmeldingen van service principals vanaf onbekende IP-adressen, wijzigingen in app-referenties en aan de app gekoppelde OAuth-toestemmingen te onderzoeken.