ConnectWise вимкнула Cloud Backup після зламу клієнтів Microsoft 365

ConnectWise призупинила доступ клієнтів до сервісу Cloud Backup, раніше відомого як SkyKick Cloud Backup, після несанкціонованого доступу до ідентичностей застосунків і компрометації середовищ Microsoft 365. За даними BBC News, платформа Huntress виявила щонайменше 162 скомпрометовані середовища у своїй інфраструктурі.

Microsoft також підтвердила зловмисну активність, пов’язану з Cloud Backup: компанія зафіксувала несанкціоновані спроби автентифікації з однієї IP-адреси 15 жовтня. ConnectWise повідомила, що розслідує інцидент і проводить заходи з усунення наслідків.

Доступ через дозволи застосунків

Для резервного копіювання Microsoft 365 сервіс ConnectWise використовує дозволи, надані через Microsoft Entra ID. Застосунок у середовищі клієнта представляє ідентичність service principal, яка може отримувати доступ до ресурсів у межах наданих їй прав.

За оцінкою дослідників Todyl, зловмисник автентифікувався безпосередньо в Microsoft 365 як застосунок для резервного копіювання, використавши його секрет. Оскільки застосунки вже мали широкі дозволи, такі входи потенційно давали можливість читати й змінювати пошту та вкладення, файли OneDrive і SharePoint, а також чати Teams. Багатофакторна автентифікація в цьому разі не спрацьовувала, оскільки активність не передбачала входу користувача.

У дев’яти проаналізованих середовищах Todyl виявила лише активність входу й не знайшла ознак створення облікових записів, зміни паролів, додавання дозволів чи закріплення зловмисника через застосунок резервного копіювання.

Спроби закріпитися в середовищах

Водночас Huntress повідомила, що приблизно у 50 середовищах, за якими вона стежить, службові ідентичності застосунків ConnectWise Cloud Management самостійно призначали собі ролі каталогу, переважно Exchange Administrator. В одному випадку дослідники зафіксували встановлення механізму постійного доступу приблизно за п’ять хвилин: застосунок Cloud Management - MS Teams надав собі роль Global Administrator і додав облікові дані до інструмента керування постачальника послуг та застосунку Huntress.

Microsoft також спостерігала дії для закріплення після успішної автентифікації service principal, розвідку через Microsoft Graph API та спроби додати нові облікові дані. Microsoft Threat Intelligence охарактеризувала інцидент як активну атаку на ланцюг постачання та вважає, що зловмисник, імовірно, зловживав наявними дозволами, зокрема Directory.ReadWrite.All.

ConnectWise заявила, що не має ознак компрометації збережених резервних копій. Наявні архіви не постраждали від зупинки сервісу та мають стати доступними після відновлення роботи. Водночас Huntress застерегла, що вимкнення сервісу не видаляє облікові дані, які могли бути додані у середовищах клієнтів, і порадила перевірити секрети та сертифікати всіх застосунків на несанкціоновані зміни з 13 жовтня.