Скомпрометовані облікові дані ConnectWise Cloud Backup використали для входу в тенанти Microsoft 365

ConnectWise призупинила роботу сервісу Cloud Backup — продукту для резервного копіювання Microsoft 365, раніше відомого як SkyKick, — після виявлення несанкціонованого доступу до пов’язаних із ним ідентичностей застосунків. Компанії з безпеки Huntress і Todyl, а також Microsoft повідомили, що зловмисник використав облікові дані застосунку резервного копіювання для прямої автентифікації в клієнтських тенантах Microsoft 365 та отримання токенів доступу Microsoft Graph, успадкувавши широкі дозволи, які клієнти раніше надали застосунку. За даними BleepingComputer і The Hacker News, Microsoft Threat Intelligence назвала це активною атакою на ланцюг постачання, повідомила, що спостерігала розвідку через Graph API та спроби додати облікові дані для збереження доступу через бекдор, і оцінила, що раніше надані дозволи, як-от Directory.ReadWrite.All, імовірно, були використані зловмисно.

ConnectWise повідомила у своєму бюлетені, що виявила проблему на початку тижня і вперше розкрила інформацію про спробу несанкціонованого доступу 16 жовтня. Рано вранці в суботу компанія заявила, що припиняє доступ застосунку Cloud Backup і зупиняє резервне копіювання до подальшого повідомлення. У пізнішому оновленні йшлося, що компанія відкликала сертифікати уражених підключень застосунку для всіх користувачів, що спільні облікові дані, на які спирався сервіс, більше не діють і що їй допомагає стороння компанія з реагування на інциденти. ConnectWise заявила, що відтоді не спостерігала успішної активності зловмисників у середовищах, які вона відстежує, і не має доказів доступу до зашифрованих архівів резервних копій. Компанія додала, що архітектура сервісу не дає їй жодної видимості клієнтських середовищ нижчого рівня, тому вона не може самостійно визначити, чи було уражено конкретний тенант. Чи відіграла роль вада продукту, не встановлено, а те, як було розкрито облікові дані, залишається предметом розслідування. Терміни відновлення не названо.

Кількість уражених тенантів різниться залежно від джерела. Huntress написала, що станом на 19:00 UTC п’ятниці підтвердила несанкціоновані входи в 162 тенантах, а BleepingComputer навів дані Huntress як щонайменше 162. The Hacker News повідомило, що Huntress зафіксувала підтверджені несанкціоновані входи в 173 тенантах. Todyl, на яку посилається BleepingComputer, дослідила вторгнення в 9 тенантах і виявила лише активність входу без жодних ознак того, що зловмисник створював облікові записи, додавав дозволи, скидав дані для входу користувачів чи закріплювався через застосунок резервного копіювання. У бюлетені ConnectWise кількість тенантів не вказано, а Huntress зазначила, що облікові дані діють скрізь, де застосунку надано згоду, тож ризик не обмежується підтвердженими випадками.

Huntress повідомила, що входи 15 жовтня тривали з 06:13 до 08:34 UTC і переходили між тенантами з інтервалом у кілька секунд у відсортованому порядку, що вона розцінила як роботу скрипта за списком цілей. Приблизно в 50 тенантах, які вона відстежує, принципали служб застосунків ConnectWise Cloud Management призначили собі ролі каталогу, переважно Exchange Administrator; Huntress заявила, що user agent вказував на автоматизацію постачальника, але вона не підтвердила цього в ConnectWise. В одному тенанті застосунок Cloud Management для Microsoft Teams зробив себе Global Administrator і приблизно за п’ять хвилин додав нові облікові дані застосунку керування MSP та власному застосунку Huntress, хоча Huntress не пов’язала цю активність з оператором пізніших входів з IP-адреси хостинг-провайдера. У суботньому оновленні Huntress повідомила, що з високою впевненістю вважає, що застосунки Cloud Management для Exchange Online, Teams і SharePoint Online також було використано зловмисно. У єдиному тенанті, який вона детально перевірила, Huntress не виявила доступу до пошти чи файлів, але зазначила, що читання каталогу через Graph не залишає записів аудиту.

ConnectWise радить адміністраторам перевірити вкладку входів принципалів служб у журналах входу Entra для застосунку резервного копіювання, шукати джерела поза очікуваними діапазонами Microsoft і Azure, переглянути нові облікові дані застосунків, зміни дозволів чи згод і неочікуваний доступ до даних, а також зберегти відповідні журнали, зауважуючи, що сама лише аномалія не підтверджує компрометацію. Huntress рекомендує вимкнути, а не видалити, застосунок резервного копіювання та будь-які застосунки ConnectWise чи SkyKick, які неможливо перевірити, не вмикати їх, доки ConnectWise не підтвердить скидання всіх облікових даних, перевірити всі застосунки на облікові дані, додані з 13 жовтня, і видалити непередбачені ролі каталогу. Huntress попередила, що вимкнення застосунку не видаляє вже впроваджених облікових даних. Todyl заявила, що вимкнення зупиняє видачу нових токенів, але вже видані токени залишаються придатними до 90 хвилин, а відкликання сеансів користувачів не припиняє доступу на основі застосунку. Microsoft радить перевірити входи принципалів служб з незнайомих IP-адрес, зміни облікових даних застосунку та пов’язані з ним дозволи OAuth.