Скомпрометированные учетные данные ConnectWise Cloud Backup использовались для входа в тенанты Microsoft 365

ConnectWise приостановила работу сервиса Cloud Backup — продукта для резервного копирования Microsoft 365, ранее известного как SkyKick, — после обнаружения несанкционированного доступа к связанным с ним идентификаторам приложений. Компании в сфере безопасности Huntress и Todyl, а также Microsoft сообщили, что злоумышленник использовал учетные данные приложения резервного копирования для прямой аутентификации в клиентских тенантах Microsoft 365 и получения токенов доступа Microsoft Graph, унаследовав широкие разрешения, которые клиенты ранее предоставили приложению. По данным BleepingComputer и The Hacker News, Microsoft Threat Intelligence назвала происходящее активной атакой на цепочку поставок, сообщила, что наблюдала разведку через Graph API и попытки добавить учетные данные для сохранения доступа через бэкдор, и оценила, что ранее предоставленные разрешения, такие как Directory.ReadWrite.All, вероятно, были использованы злонамеренно.

ConnectWise сообщила в своем бюллетене, что выявила проблему в начале недели и впервые раскрыла информацию о попытке несанкционированного доступа 16 октября. Рано утром в субботу компания заявила, что отключает доступ приложения Cloud Backup, приостанавливая резервное копирование до дальнейшего уведомления. В более позднем обновлении говорилось, что компания отозвала сертификаты затронутых подключений приложения для всех пользователей, что общие учетные данные, на которые опирался сервис, больше не действуют и что ей помогает сторонняя компания по реагированию на инциденты. ConnectWise заявила, что с тех пор не наблюдала успешной активности злоумышленников в контролируемых ею средах и не имеет доказательств доступа к зашифрованным архивам резервных копий. Компания добавила, что архитектура сервиса не дает ей никакой видимости нижестоящих клиентских сред, поэтому она не может самостоятельно определить, затронут ли конкретный тенант. Сыграла ли роль уязвимость продукта, не установлено, а то, как были раскрыты учетные данные, остается предметом расследования. Сроки восстановления не названы.

Число затронутых тенантов различается в зависимости от источника. Huntress написала, что по состоянию на 19:00 UTC пятницы подтвердила несанкционированные входы в 162 тенантах, а BleepingComputer привел данные Huntress как минимум о 162. The Hacker News сообщил, что Huntress зафиксировала подтвержденные несанкционированные входы в 173 тенантах. Todyl, на которую ссылается BleepingComputer, изучила вторжения в 9 тенантах и обнаружила только активность входа без каких-либо признаков того, что злоумышленник создавал учетные записи, добавлял разрешения, сбрасывал данные для входа пользователей или закреплялся через приложение резервного копирования. В бюллетене ConnectWise число тенантов не указано, а Huntress отметила, что учетные данные действуют везде, где приложению дано согласие, поэтому риск не ограничивается подтвержденными случаями.

Huntress сообщила, что входы 15 октября шли с 06:13 до 08:34 UTC и переходили между тенантами с интервалом в несколько секунд в отсортированном порядке, что она расценила как работу скрипта по списку целей. Примерно в 50 отслеживаемых ею тенантах субъекты-службы приложений ConnectWise Cloud Management назначили себе роли каталога, в основном Exchange Administrator; Huntress заявила, что user agent указывал на автоматизацию вендора, но она не подтвердила это у ConnectWise. В одном тенанте приложение Cloud Management для Microsoft Teams сделало себя Global Administrator и примерно за пять минут добавило новые учетные данные приложению управления MSP и собственному приложению Huntress, хотя Huntress не связала эту активность с оператором последующих входов с IP-адреса хостинг-провайдера. В субботнем обновлении Huntress сообщила, что с высокой уверенностью считает, что приложения Cloud Management для Exchange Online, Teams и SharePoint Online также были использованы злонамеренно. В единственном тенанте, который она подробно изучила, Huntress не обнаружила доступа к почте или файлам, но отметила, что чтение каталога через Graph не оставляет записей аудита.

ConnectWise рекомендует администраторам проверить вкладку входов субъектов-служб в журналах входа Entra для приложения резервного копирования, искать источники за пределами ожидаемых диапазонов Microsoft и Azure, изучить новые учетные данные приложений, изменения разрешений или согласий и неожиданный доступ к данным, а также сохранить соответствующие журналы, отмечая, что одна лишь аномалия не подтверждает компрометацию. Huntress рекомендует отключить, а не удалить, приложение резервного копирования и любые приложения ConnectWise или SkyKick, которые невозможно проверить, не включать их, пока ConnectWise не подтвердит сброс всех учетных данных, проверить все приложения на учетные данные, добавленные с 13 октября, и удалить непредусмотренные роли каталога. Huntress предупредила, что отключение приложения не удаляет уже внедренные учетные данные. Todyl заявила, что отключение останавливает выдачу новых токенов, но уже выданные токены остаются действительными до 90 минут, а отзыв пользовательских сеансов не прекращает доступ на основе приложения. Microsoft рекомендует проверить входы субъектов-служб с незнакомых IP-адресов, изменения учетных данных приложения и связанные с ним разрешения OAuth.