Przejęte poświadczenie usługi ConnectWise Cloud Backup użyte do logowania w tenantach Microsoft 365

ConnectWise zawiesił usługę Cloud Backup, produkt do tworzenia kopii zapasowych Microsoft 365 znany wcześniej jako SkyKick, po wykryciu nieautoryzowanego dostępu do powiązanych z nią tożsamości aplikacji. Firmy bezpieczeństwa Huntress i Todyl, a także Microsoft, poinformowały, że atakujący użył poświadczenia aplikacji kopii zapasowych, aby uwierzytelnić się bezpośrednio w tenantach Microsoft 365 klientów i uzyskać tokeny dostępu Microsoft Graph, przejmując szerokie uprawnienia, które klienci wcześniej przyznali aplikacji. Według BleepingComputer i The Hacker News zespół Microsoft Threat Intelligence nazwał to aktywnym atakiem na łańcuch dostaw, stwierdził, że zaobserwował rozpoznanie przez Graph API oraz próby dodania poświadczeń w celu utrzymania dostępu przez tylne drzwi, i ocenił, że wcześniej przyznane uprawnienia, takie jak Directory.ReadWrite.All, zostały prawdopodobnie nadużyte.

ConnectWise podał w swoim komunikacie, że zidentyfikował problem wcześniej w tym tygodniu, a 16 października po raz pierwszy ujawnił próbę nieautoryzowanego dostępu. Wczesnym rankiem w sobotę firma poinformowała, że odcina dostęp aplikacji Cloud Backup, co wstrzymuje tworzenie kopii zapasowych do odwołania. W późniejszej aktualizacji podała, że unieważniła certyfikaty objętych problemem połączeń aplikacji dla wszystkich użytkowników, że współdzielone poświadczenia, na których opierała się usługa, już nie działają i że pomaga jej zewnętrzna firma reagowania na incydenty. ConnectWise stwierdził, że od tego czasu nie zaobserwował udanej aktywności zagrożeń w monitorowanych przez siebie środowiskach i nie ma dowodów na dostęp do zaszyfrowanych archiwów kopii zapasowych. Dodał, że konstrukcja usługi nie daje mu wglądu w dalsze środowiska klientów, więc sam nie jest w stanie stwierdzić, czy dany tenant został dotknięty incydentem. Nie ustalono, czy rolę odegrała luka w produkcie, a sposób ujawnienia poświadczenia jest nadal przedmiotem dochodzenia. Nie podano terminu przywrócenia usługi.

Liczba objętych incydentem tenantów różni się w zależności od źródła. Huntress napisał, że według stanu na 19:00 UTC w piątek potwierdził nieautoryzowane logowania w 162 tenantach, a BleepingComputer podał liczbę Huntress jako co najmniej 162. The Hacker News poinformował, że Huntress zaobserwował potwierdzone nieautoryzowane logowania w 173 tenantach. Todyl, cytowany przez BleepingComputer, zbadał włamania w dziewięciu tenantach i stwierdził wyłącznie aktywność logowania, bez oznak, by atakujący tworzył konta, dodawał uprawnienia, resetował loginy użytkowników lub uzyskał trwały dostęp przez aplikację kopii zapasowych. Komunikat ConnectWise nie podaje liczby tenantów, a Huntress zauważył, że poświadczenie działa wszędzie tam, gdzie aplikacja otrzymała zgodę, więc narażenie nie ogranicza się do potwierdzonych przypadków.

Huntress podał, że logowania 15 października trwały od 06:13 do 08:34 UTC i obejmowały kolejne tenanty co kilka sekund w posortowanej kolejności, co uznał za pracę skryptu korzystającego z listy celów. W około 50 monitorowanych przez niego tenantach jednostki usługi aplikacji ConnectWise Cloud Management przypisały sobie role katalogowe, głównie Exchange Administrator; Huntress stwierdził, że user agent wskazywał na automatyzację dostawcy, ale nie potwierdził tego z ConnectWise. W jednym tenancie aplikacja Cloud Management dla Microsoft Teams nadała sobie rolę Global Administrator i w ciągu około pięciu minut dodała nowe poświadczenia do aplikacji do zarządzania MSP oraz do własnej aplikacji Huntress, choć Huntress nie powiązał tej aktywności z operatorem stojącym za późniejszymi logowaniami z adresu IP dostawcy hostingu. Sobotnia aktualizacja mówiła o wysokiej pewności, że nadużyto także aplikacji Cloud Management dla Exchange Online, Teams i SharePoint Online. W jedynym tenancie, który dokładnie przeanalizował, Huntress nie zauważył dostępu do poczty ani plików, ale zaznaczył, że odczyty katalogu przez Graph nie pozostawiają śladu audytowego.

ConnectWise zaleca administratorom sprawdzenie karty logowań jednostek usługi w dziennikach logowania Entra dla aplikacji kopii zapasowych, szukanie źródeł spoza oczekiwanych zakresów Microsoft i Azure, przegląd nowych poświadczeń aplikacji, zmian uprawnień lub zgód oraz nieoczekiwanego dostępu do danych, a także zachowanie odpowiednich logów, zaznaczając, że sama anomalia nie potwierdza naruszenia. Huntress zaleca wyłączenie, a nie usunięcie, aplikacji kopii zapasowych i każdej aplikacji ConnectWise lub SkyKick, której nie da się zweryfikować, pozostawienie ich wyłączonych do czasu, aż ConnectWise potwierdzi zresetowanie wszystkich poświadczeń, sprawdzenie wszystkich aplikacji pod kątem poświadczeń dodanych od 13 października i usunięcie niezamierzonych ról katalogowych. Ostrzegł, że wyłączenie aplikacji nie usuwa już podłożonych poświadczeń. Todyl stwierdził, że wyłączenie blokuje nowe tokeny, ale wydane tokeny pozostają ważne do 90 minut, a unieważnienie sesji użytkowników nie kończy dostępu opartego na aplikacji. Microsoft zaleca zbadanie logowań jednostek usługi z nieznanych adresów IP, zmian poświadczeń aplikacji oraz powiązanych z nią zgód OAuth.