Thông tin xác thực ConnectWise Cloud Backup bị xâm phạm được dùng để đăng nhập vào tenant Microsoft 365

ConnectWise đã tạm ngừng dịch vụ Cloud Backup, sản phẩm sao lưu Microsoft 365 trước đây có tên SkyKick, sau khi phát hiện truy cập trái phép vào các danh tính ứng dụng liên kết với dịch vụ này. Các công ty bảo mật Huntress và Todyl, cùng Microsoft, cho biết một kẻ tấn công đã dùng thông tin xác thực của ứng dụng sao lưu để xác thực trực tiếp vào tenant Microsoft 365 của khách hàng và lấy token truy cập Microsoft Graph, qua đó thừa hưởng các quyền rộng mà khách hàng đã cấp cho ứng dụng. Theo BleepingComputer và The Hacker News, Microsoft Threat Intelligence gọi đây là một cuộc tấn công chuỗi cung ứng đang diễn ra, cho biết đã thấy hoạt động trinh sát qua Graph API và các nỗ lực thêm thông tin xác thực để duy trì quyền truy cập cửa hậu, đồng thời đánh giá rằng các quyền đã cấp trước đó như Directory.ReadWrite.All nhiều khả năng đã bị lạm dụng.

ConnectWise cho biết trong thông báo tư vấn rằng họ đã xác định sự cố vào đầu tuần và lần đầu công bố nỗ lực truy cập trái phép vào ngày 16 tháng 10. Sáng sớm thứ Bảy, công ty cho biết đang cắt quyền truy cập của ứng dụng Cloud Backup, khiến việc sao lưu dừng lại cho đến khi có thông báo mới. Một bản cập nhật sau đó cho biết công ty đã thu hồi chứng chỉ cho các kết nối ứng dụng bị ảnh hưởng đối với mọi người dùng, rằng thông tin xác thực dùng chung mà dịch vụ dựa vào không còn hoạt động, và một công ty ứng phó sự cố bên ngoài đang hỗ trợ. ConnectWise cho biết từ đó đến nay họ không thấy hoạt động đe dọa thành công nào trong các môi trường mà họ giám sát và không có bằng chứng cho thấy các kho lưu trữ sao lưu được mã hóa đã bị truy cập. Công ty nói thêm rằng thiết kế của dịch vụ không cho họ khả năng quan sát các môi trường khách hàng ở hạ nguồn, nên tự họ không thể biết một tenant cụ thể có bị ảnh hưởng hay không. Việc lỗi sản phẩm có đóng vai trò hay không vẫn chưa được xác định, và cách thông tin xác thực bị lộ vẫn đang được điều tra. Chưa có thời điểm khôi phục nào được đưa ra.

Số tenant bị ảnh hưởng khác nhau tùy nguồn. Huntress viết rằng, tính đến 19:00 UTC thứ Sáu, họ đã xác nhận các lần đăng nhập trái phép tại 162 tenant, và BleepingComputer đưa tin con số của Huntress là ít nhất 162. The Hacker News đưa tin Huntress đã ghi nhận các lần đăng nhập trái phép được xác nhận tại 173 tenant. Todyl, theo trích dẫn của BleepingComputer, đã xem xét các vụ xâm nhập tại 9 tenant và chỉ thấy hoạt động đăng nhập, không có dấu hiệu nào cho thấy kẻ tấn công đã tạo tài khoản, thêm quyền, đặt lại thông tin đăng nhập của người dùng hay duy trì hiện diện thông qua ứng dụng sao lưu. Thông báo của ConnectWise không đưa ra số lượng tenant, và Huntress lưu ý rằng thông tin xác thực này hoạt động ở bất cứ nơi nào ứng dụng đã được cấp sự đồng ý, nên phạm vi phơi nhiễm không giới hạn ở các trường hợp đã xác nhận.

Huntress cho biết các lần đăng nhập ngày 15 tháng 10 diễn ra từ 06:13 đến 08:34 UTC và lần lượt đi qua các tenant cách nhau vài giây theo thứ tự đã sắp xếp, điều mà họ hiểu là một script chạy theo danh sách mục tiêu. Tại khoảng 50 tenant mà Huntress giám sát, service principal của các ứng dụng ConnectWise Cloud Management đã tự gán vai trò thư mục cho chính mình, phần lớn là Exchange Administrator; Huntress cho biết user agent chỉ ra tự động hóa của nhà cung cấp nhưng họ chưa xác nhận điều này với ConnectWise. Tại một tenant, ứng dụng Cloud Management cho Microsoft Teams đã tự biến mình thành Global Administrator và thêm thông tin xác thực mới vào một ứng dụng quản lý MSP cũng như vào chính ứng dụng của Huntress trong khoảng năm phút, dù Huntress chưa liên kết hoạt động đó với kẻ vận hành đứng sau các lần đăng nhập sau đó từ IP của nhà cung cấp hosting. Bản cập nhật hôm thứ Bảy cho biết Huntress tin tưởng cao rằng các ứng dụng Cloud Management cho Exchange Online, Teams và SharePoint Online cũng đã bị lạm dụng. Tại tenant duy nhất được xem xét kỹ, Huntress không thấy truy cập thư hay tệp, nhưng lưu ý rằng việc đọc thư mục qua Graph không để lại dấu vết kiểm toán.

ConnectWise khuyến nghị quản trị viên kiểm tra tab đăng nhập service principal trong nhật ký đăng nhập Entra cho ứng dụng sao lưu, tìm nguồn ngoài dải Microsoft và Azure dự kiến, rà soát thông tin xác thực ứng dụng mới, thay đổi quyền hoặc sự đồng ý và truy cập dữ liệu bất thường, đồng thời lưu giữ nhật ký liên quan, lưu ý rằng chỉ riêng một bất thường không xác nhận việc bị xâm phạm. Huntress khuyến nghị vô hiệu hóa, không xóa, ứng dụng sao lưu và mọi ứng dụng ConnectWise hoặc SkyKick không thể xác minh, giữ chúng ở trạng thái tắt đến khi ConnectWise xác nhận mọi thông tin xác thực đã được đặt lại, kiểm tra mọi ứng dụng để tìm thông tin xác thực được thêm từ ngày 13 tháng 10 và gỡ các vai trò thư mục ngoài ý muốn. Huntress cảnh báo rằng vô hiệu hóa ứng dụng không loại bỏ các thông tin xác thực đã được cài sẵn. Todyl cho biết việc vô hiệu hóa ngăn token mới, nhưng các token đã cấp vẫn dùng được tới 90 phút và việc thu hồi phiên người dùng không chấm dứt quyền truy cập dựa trên ứng dụng. Microsoft khuyến nghị kiểm tra các lần đăng nhập service principal từ địa chỉ IP lạ, thay đổi thông tin xác thực ứng dụng và các OAuth grant gắn với ứng dụng.