Credencial comprometida do ConnectWise Cloud Backup usada para aceder a tenants do Microsoft 365

A ConnectWise suspendeu o seu serviço Cloud Backup, o produto de backup para Microsoft 365 anteriormente conhecido como SkyKick, depois de detetar acessos não autorizados a identidades de aplicação a ele associadas. As empresas de segurança Huntress e Todyl, bem como a Microsoft, relataram que um atacante usou a credencial da aplicação de backup para se autenticar diretamente nos tenants Microsoft 365 de clientes e obter tokens de acesso do Microsoft Graph, herdando as amplas permissões que os clientes já tinham concedido à aplicação. Segundo o BleepingComputer e o The Hacker News, a Microsoft Threat Intelligence classificou-o como um ataque ativo à cadeia de fornecimento, afirmou ter observado reconhecimento através da Graph API e tentativas de adicionar credenciais para manter acesso por backdoor, e avaliou que permissões concedidas anteriormente, como Directory.ReadWrite.All, foram provavelmente abusadas.

A ConnectWise afirmou no seu aviso que identificou o problema no início da semana e divulgou pela primeira vez uma tentativa de acesso não autorizado a 16 de outubro. No sábado de manhã cedo, disse que estava a cortar o acesso da aplicação Cloud Backup, interrompendo os backups até nova ordem. Uma atualização posterior indicou que a empresa revogou os certificados das ligações de aplicação afetadas para todos os utilizadores, que as credenciais partilhadas de que o serviço dependia deixaram de funcionar e que uma empresa externa de resposta a incidentes está a prestar apoio. A ConnectWise afirmou que não observou desde então qualquer atividade maliciosa bem-sucedida nos ambientes que monitoriza e que não tem provas de que os arquivos de backup cifrados tenham sido acedidos. Acrescentou que a conceção do serviço não lhe dá qualquer visibilidade sobre os ambientes dos clientes a jusante, pelo que não consegue determinar por si só se um determinado tenant foi afetado. Não foi apurado se uma falha do produto teve algum papel, e a forma como a credencial foi exposta continua sob investigação. Não foi indicado qualquer prazo de restabelecimento.

O número de tenants afetados difere consoante a fonte. A Huntress escreveu que, às 19:00 UTC de sexta-feira, tinha confirmado inícios de sessão não autorizados em 162 tenants, e o BleepingComputer noticiou o número da Huntress como pelo menos 162. O The Hacker News noticiou que a Huntress tinha observado inícios de sessão não autorizados confirmados em 173 tenants. A Todyl, citada pelo BleepingComputer, examinou intrusões em nove tenants e encontrou apenas atividade de início de sessão, sem qualquer indicação de que o atacante tenha criado contas, adicionado permissões, redefinido os acessos de utilizadores ou obtido persistência através da aplicação de backup. O aviso da ConnectWise não indica qualquer número de tenants, e a Huntress observou que a credencial funciona em qualquer lugar onde tenha sido concedido consentimento à aplicação, pelo que a exposição não se limita aos casos confirmados.

A Huntress disse que os inícios de sessão de 15 de outubro decorreram entre as 06:13 e as 08:34 UTC e passaram de tenant em tenant com poucos segundos de intervalo, por ordem sequencial, o que interpretou como um script a trabalhar a partir de uma lista de alvos. Em cerca de 50 tenants que monitoriza, service principals de aplicações ConnectWise Cloud Management atribuíram a si próprios funções de diretório, sobretudo Exchange Administrator; a Huntress disse que o user agent apontava para automação do fornecedor, mas que não o confirmou com a ConnectWise. Num tenant, a aplicação Cloud Management para Microsoft Teams tornou-se Global Administrator e adicionou novas credenciais a uma aplicação de gestão de MSP e à própria aplicação da Huntress em cerca de cinco minutos, embora a Huntress não tenha associado essa atividade ao operador por trás dos inícios de sessão posteriores a partir do IP do fornecedor de alojamento. Uma atualização de sábado indicou elevada confiança de que as aplicações Cloud Management para Exchange Online, Teams e SharePoint Online também foram abusadas. No único tenant que analisou em detalhe, a Huntress não viu acessos a e-mail ou ficheiros, mas observou que as leituras de diretório via Graph não deixam rasto de auditoria.

A ConnectWise aconselha os administradores a verificar o separador de inícios de sessão de service principals nos registos de início de sessão do Entra para a app de backup, procurar origens fora dos intervalos Microsoft e Azure esperados, rever novas credenciais de apps, alterações de permissões ou consentimentos e acessos inesperados a dados, e conservar os registos relevantes, notando que uma anomalia por si só não confirma um comprometimento. A Huntress recomenda desativar, e não eliminar, a app de backup e qualquer app ConnectWise ou SkyKick não verificável, mantendo-as desativadas até a ConnectWise confirmar que todas as credenciais foram redefinidas, verificar todas as aplicações quanto a credenciais adicionadas desde 13 de outubro e remover funções de diretório não pretendidas. Alertou que desativar uma app não remove credenciais já implantadas. A Todyl disse que a desativação impede novos tokens, mas os tokens emitidos continuam utilizáveis até 90 minutos e revogar sessões de utilizadores não termina o acesso baseado na app. A Microsoft aconselha a examinar os inícios de sessão de service principals a partir de endereços IP desconhecidos, alterações às credenciais da app e concessões OAuth associadas à app.