Komprometterad autentiseringsuppgift för ConnectWise Cloud Backup användes för att logga in i Microsoft 365-tenanter

ConnectWise har tillfälligt stängt av sin tjänst Cloud Backup, den produkt för säkerhetskopiering av Microsoft 365 som tidigare hette SkyKick, efter att ha upptäckt obehörig åtkomst till applikationsidentiteter kopplade till den. Säkerhetsföretagen Huntress och Todyl samt Microsoft har rapporterat att en angripare använde backupapplikationens autentiseringsuppgift för att autentisera sig direkt mot kunders Microsoft 365-tenanter och skaffa åtkomsttoken för Microsoft Graph, och därmed ärvde de omfattande behörigheter som kunderna redan hade gett appen. Enligt BleepingComputer och The Hacker News kallade Microsoft Threat Intelligence det en aktiv attack mot leveranskedjan, uppgav att man sett rekognosering via Graph API och försök att lägga till autentiseringsuppgifter för att behålla bakdörrsåtkomst, och bedömde att tidigare beviljade behörigheter som Directory.ReadWrite.All sannolikt hade missbrukats.

ConnectWise uppgav i sitt säkerhetsmeddelande att bolaget identifierade problemet tidigare i veckan och första gången redogjorde för försök till obehörig åtkomst den 16 oktober. Tidigt på lördagen meddelade bolaget att det stängde av åtkomsten för Cloud Backup-applikationen, vilket stoppar säkerhetskopieringen tills vidare. En senare uppdatering angav att bolaget hade återkallat certifikat för berörda applikationsanslutningar för alla användare, att de delade autentiseringsuppgifter som tjänsten byggde på inte längre fungerar och att ett externt incidenthanteringsföretag bistår. ConnectWise uppgav att bolaget sedan dess inte sett någon framgångsrik hotaktivitet i de miljöer det övervakar och att det inte har några belägg för att någon kommit åt de krypterade backuparkiven. Bolaget tillade att tjänstens utformning inte ger det någon insyn i kundernas nedströmsmiljöer, så det kan inte på egen hand avgöra om en viss tenant har drabbats. Huruvida en produktbrist spelade in har inte fastställts, och hur autentiseringsuppgiften exponerades utreds fortfarande. Ingen tidpunkt för återställning har angetts.

Antalet drabbade tenanter skiljer sig åt mellan källorna. Huntress skrev att bolaget klockan 19:00 UTC på fredagen hade bekräftat obehöriga inloggningar i 162 tenanter, och BleepingComputer återgav Huntress siffra som minst 162. The Hacker News rapporterade att Huntress hade observerat bekräftade obehöriga inloggningar i 173 tenanter. Todyl undersökte, enligt BleepingComputer, intrång i 9 tenanter och fann endast inloggningsaktivitet, utan några tecken på att angriparen skapat konton, lagt till behörigheter, återställt användarinloggningar eller fått beständig åtkomst via backupappen. ConnectWises säkerhetsmeddelande anger inget antal tenanter, och Huntress noterade att autentiseringsuppgiften fungerar överallt där appen har beviljats medgivande, så exponeringen är inte begränsad till bekräftade fall.

Huntress uppgav att inloggningarna den 15 oktober pågick mellan 06:13 och 08:34 UTC och gick igenom tenanterna med några sekunders mellanrum i sorterad ordning, vilket bolaget tolkade som ett skript som arbetade utifrån en mållista. I ungefär 50 tenanter som Huntress övervakar tilldelade tjänsthuvudnamn för ConnectWise Cloud Management-appar sig själva katalogroller, oftast Exchange Administrator; Huntress uppgav att användaragenten pekade på leverantörens automatisering men att bolaget inte hade bekräftat detta med ConnectWise. I en tenant gjorde Cloud Management-appen för Microsoft Teams sig själv till Global Administrator och lade på omkring fem minuter till nya autentiseringsuppgifter i en MSP-hanteringsapplikation och i Huntress egen applikation, men Huntress har inte kopplat den aktiviteten till aktören bakom de senare inloggningarna från hostingleverantörens IP-adress. En uppdatering på lördagen angav att bolaget med hög säkerhet bedömde att även Cloud Management-apparna för Exchange Online, Teams och SharePoint Online hade missbrukats. I den enda tenant som bolaget granskade ingående såg Huntress ingen åtkomst till e-post eller filer, men noterade att katalogläsningar via Graph inte lämnar några spår i granskningsloggen.

ConnectWise rekommenderar administratörer att kontrollera fliken för inloggningar av tjänsthuvudnamn i inloggningsloggarna i Entra för backupappen, leta efter källor utanför förväntade Microsoft- och Azure-intervall, granska nya appautentiseringsuppgifter, ändringar av behörigheter eller medgivanden och oväntad dataåtkomst samt spara relevanta loggar, och påpekar att en avvikelse ensam inte bekräftar intrång. Huntress rekommenderar att backupappen och varje ConnectWise- eller SkyKick-app som inte kan verifieras inaktiveras, inte raderas, och hålls avstängda tills ConnectWise bekräftar att alla autentiseringsuppgifter har återställts, att alla applikationer kontrolleras för autentiseringsuppgifter som lagts till sedan den 13 oktober och att oavsiktliga katalogroller tas bort. Bolaget varnade för att inaktivering av en app inte tar bort redan planterade autentiseringsuppgifter. Todyl uppgav att inaktivering stoppar nya token, men att redan utfärdade token förblir användbara i upp till 90 minuter och att återkallande av användarsessioner inte avslutar appbaserad åtkomst. Microsoft rekommenderar att man granskar inloggningar av tjänsthuvudnamn från okända IP-adresser, ändringar av appens autentiseringsuppgifter och OAuth-beviljanden kopplade till appen.