Credențial compromis al ConnectWise Cloud Backup, folosit pentru autentificarea în tenanturi Microsoft 365

ConnectWise și-a suspendat serviciul Cloud Backup, produsul de backup pentru Microsoft 365 cunoscut anterior ca SkyKick, după ce a descoperit accesări neautorizate ale identităților de aplicație asociate acestuia. Firmele de securitate Huntress și Todyl, precum și Microsoft, au raportat că un atacator a folosit credențialul aplicației de backup pentru a se autentifica direct în tenanturile Microsoft 365 ale clienților și a obține tokenuri de acces Microsoft Graph, moștenind permisiunile extinse pe care clienții le acordaseră deja aplicației. Potrivit BleepingComputer și The Hacker News, Microsoft Threat Intelligence a calificat incidentul drept un atac activ asupra lanțului de aprovizionare, a declarat că a observat activități de recunoaștere prin Graph API și încercări de a adăuga credențiale pentru a păstra accesul de tip backdoor și a apreciat că permisiuni acordate anterior, precum Directory.ReadWrite.All, au fost probabil abuzate.

ConnectWise a declarat în avizul său că a identificat problema la începutul săptămânii și a dezvăluit pentru prima dată, pe 16 octombrie, tentative de acces neautorizat. Sâmbătă dimineață devreme, compania a anunțat că întrerupe accesul aplicației Cloud Backup, oprind backupurile până la noi ordine. O actualizare ulterioară a precizat că a revocat certificatele pentru conexiunile de aplicație afectate pentru toți utilizatorii, că credențialele partajate pe care se baza serviciul nu mai funcționează și că o firmă externă de răspuns la incidente oferă asistență. ConnectWise a spus că de atunci nu a observat nicio activitate malițioasă reușită în mediile pe care le monitorizează și că nu are dovezi că arhivele de backup criptate au fost accesate. Compania a adăugat că, prin modul în care este conceput, serviciul nu îi oferă vizibilitate asupra mediilor clienților din aval, astfel că nu poate stabili singură dacă un anumit tenant a fost afectat. Nu s-a stabilit dacă o vulnerabilitate a produsului a jucat vreun rol, iar modul în care credențialul a fost expus face în continuare obiectul investigației. Nu a fost comunicat niciun termen de restabilire.

Numărul tenanturilor afectate diferă în funcție de sursă. Huntress a scris că, până vineri la ora 19:00 UTC, confirmase autentificări neautorizate în 162 de tenanturi, iar BleepingComputer a relatat cifra Huntress ca fiind de cel puțin 162. The Hacker News a relatat că Huntress observase autentificări neautorizate confirmate în 173 de tenanturi. Todyl, citată de BleepingComputer, a examinat intruziuni în nouă tenanturi și a găsit doar activitate de autentificare, fără niciun indiciu că atacatorul ar fi creat conturi, ar fi adăugat permisiuni, ar fi resetat autentificările utilizatorilor sau ar fi obținut persistență prin aplicația de backup. Avizul ConnectWise nu indică numărul tenanturilor, iar Huntress a remarcat că credențialul funcționează oriunde aplicației i s-a acordat consimțământul, astfel că expunerea nu se limitează la cazurile confirmate.

Huntress a spus că autentificările din 15 octombrie au avut loc între 06:13 și 08:34 UTC și au parcurs tenanturile la câteva secunde distanță, în ordine sortată, ceea ce a interpretat drept un script care lucra după o listă de ținte. În aproximativ 50 de tenanturi monitorizate de Huntress, principalii de serviciu ai aplicațiilor ConnectWise Cloud Management și-au atribuit roluri de director, în principal Exchange Administrator; Huntress a spus că user agentul indica automatizare a furnizorului, dar că nu a confirmat acest lucru cu ConnectWise. Într-un tenant, aplicația Cloud Management pentru Microsoft Teams și-a atribuit rolul de Global Administrator și a adăugat credențiale noi unei aplicații de gestionare MSP și propriei aplicații a Huntress în circa cinci minute, deși Huntress nu a legat această activitate de operatorul din spatele autentificărilor ulterioare de pe IP-ul furnizorului de găzduire. Într-o actualizare de sâmbătă, Huntress a afirmat cu încredere ridicată că și aplicațiile Cloud Management pentru Exchange Online, Teams și SharePoint Online au fost abuzate. În singurul tenant analizat în detaliu, Huntress nu a observat accesări ale e-mailurilor sau fișierelor, dar a remarcat că citirile de director prin Graph nu lasă urme de audit.

ConnectWise recomandă administratorilor să verifice fila de autentificări ale principalilor de serviciu din jurnalele de autentificare Entra pentru aplicația de backup, să caute surse din afara intervalelor Microsoft și Azure așteptate, să examineze credențialele noi ale aplicațiilor, modificările de permisiuni sau consimțământ și accesul neașteptat la date și să păstreze jurnalele relevante, menționând că o anomalie nu confirmă, în sine, o compromitere. Huntress recomandă dezactivarea, nu ștergerea, aplicației de backup și a oricărei aplicații ConnectWise sau SkyKick care nu poate fi verificată, menținerea lor dezactivate până când ConnectWise confirmă resetarea tuturor credențialelor, verificarea tuturor aplicațiilor pentru credențiale adăugate începând cu 13 octombrie și eliminarea rolurilor de director nedorite. Huntress a avertizat că dezactivarea unei aplicații nu elimină credențialele deja plantate. Todyl a spus că dezactivarea oprește tokenurile noi, dar cele deja emise rămân utilizabile până la 90 de minute, iar revocarea sesiunilor utilizatorilor nu încheie accesul bazat pe aplicație. Microsoft recomandă examinarea autentificărilor principalilor de serviciu de la IP-uri necunoscute, a modificărilor credențialelor aplicației și a acordurilor OAuth legate de aceasta.