ConnectWise Cloud Backup: aplicații Microsoft 365 abuzate

Ce a confirmat ConnectWise

Potrivit ConnectWise, citat de The Hacker News și BleepingComputer, actori necunoscuți au obținut acces neautorizat la identități de aplicație și au compromis tenanți Microsoft 365. Compania a dezactivat șapte identități (Cloud Backup și șase aplicații Cloud Management: general, Teams, Exchange Online, Graph, Partner Center și SharePoint Online), a suspendat Cloud Backup prin revocarea certificatelor folosite de conexiunile afectate și a scos temporar offline SaaS Security și Cloud Management.

ConnectWise spune că arhivele de backup rămân criptate, izolate și păstrate, fără dovezi că ar fi fost accesate, și că dezactivarea conexiunilor nu anulează modificările deja făcute în tenanți. Tokenurile emise anterior pot rămâne utilizabile până expiră sau sunt invalidate. Backup-urile programate nu rulează, iar restaurarea nu este disponibilă, fără termen de reluare. Compania nu spune cum au fost obținute identitățile și nu a numit niciun atacator.

• ▸The Hacker News — ConnectWise suspendă Cloud Backup
• ▸BleepingComputer — breșe Microsoft 365 prin atacul asupra lanțului ConnectWise

Ce raportează cercetătorii

Potrivit BleepingComputer, Huntress a văzut autentificări scriptate dintr-o aceeași adresă încă din 13–14 octombrie, iar Microsoft a identificat încercări neautorizate pe 15 octombrie. Todyl spune că atacatorul s-a autentificat direct ca aplicația de backup, cu secretul ei, deci fără utilizator și fără MFA; aplicația avea permisiuni largi, care pot include citirea și scrierea de e-mail, fișiere OneDrive/SharePoint și conversații Teams.

Huntress a observat, în aproape 50 de tenanți monitorizați, principali de serviciu ai aplicațiilor Cloud Management care își atribuiau roluri de director, mai ales Exchange Administrator. Într-un tenant, aplicația Cloud Management pentru Teams și-a acordat Global Administrator și a adăugat credențiale unei unelte de management MSP și aplicației Huntress, în circa cinci minute. Microsoft a observat o ușă din spate după autentificarea reușită a unui principal de serviciu, urmată de recunoaștere prin Graph API și încercări de a adăuga credențiale, și a evaluat că atacatorul a abuzat probabil de permisiuni existente, între care Directory.ReadWrite.All.

Todyl, în nouă tenanți analizați, a găsit doar activitate de autentificare, fără creare de conturi, modificări de permisiuni sau persistență prin aplicația de backup. Atribuirea lipsește: nicio sursă nu numește un grup.

• ▸BleepingComputer — Huntress, Microsoft și Todyl
• ▸The Hacker News — activitatea observată de Huntress

Cifrele nu coincid

BleepingComputer citează Huntress pentru cel puțin 162 de tenanți compromiși în mediul propriu. The Hacker News citează tot Huntress pentru aproape 1.000 de tenanți Entra cu activitate de autentificare din adresa asociată, dintre care 300 reușite, plus un al doilea val țintit pe 15 octombrie asupra a 16 tenanți din domenii de politici publice, securitate națională, comerț și minerale critice, fără succes. Nu am putut reconcilia aceste cifre și nu le-am putut verifica direct la Huntress. Numărul total de victime și volumul de date accesate rămân neclare.

Tot nelămurit este mecanismul prin care au fost obținute credențialele ConnectWise și dacă o vulnerabilitate de produs a contribuit. ConnectWise listează toate cele șapte identități ca dezactivate, dar Huntress spune că aplicațiile Cloud Management pentru Exchange Online, Teams și SharePoint nu par dezactivate. Nu se știe dacă mai pot fi abuzate; Huntress investighează.

• ▸BleepingComputer — cifre atribuite Huntress și Todyl
• ▸The Hacker News — alte cifre atribuite Huntress

Ce verifici în tenantul tău

• ▸Din Entra, listează aplicațiile enterprise și înregistrările de aplicații ale furnizorilor de backup, MSP și management, inclusiv cele vechi, de exemplu „SkyKick Cloud Manager”. Notează ce permisiuni au și cine le-a consimțit.
• ▸Verifică starea celor șapte aplicații ConnectWise (ID-urile sunt în anunțul ConnectWise) și ține-le dezactivate cât timp furnizorul recomandă.
• ▸Revizuiește autentificările principalilor de serviciu începând cu 13 octombrie, în special după ID-ul aplicației Cloud Backup și surse neașteptate. Păstrează jurnalele de autentificare și audit înainte de orice măsură de izolare.
• ▸Caută credențiale (secrete și certificate) adăugate aplicațiilor începând cu 13 octombrie, atribuiri de roluri de director, mai ales Exchange Administrator și Global Administrator, consimțăminte noi, reguli de redirecționare în căsuțe, reguli de transport și delegări de acces.
• ▸Dezactivarea unei aplicații oprește tokenurile noi, dar cele existente rămân valide până expiră, iar revocarea sesiunilor utilizatorilor nu închide accesul bazat pe aplicație, potrivit Todyl.
• ▸Pe termen lung, Huntress recomandă politici de management al aplicațiilor care restricționează sau blochează secretele de client și limitează durata credențialelor, puțini deținători ai rolurilor Application Administrator și Cloud Application Administrator, Conditional Access pentru identități de încărcătură de lucru (necesită licențiere suplimentară) și Entra ID Protection pentru principali de serviciu riscanți.

• ▸BleepingComputer — acțiuni recomandate de ConnectWise, Microsoft, Huntress și Todyl
• ▸The Hacker News — recomandări pentru parteneri și Huntress

Dacă ești MSP sau ai furnizori cu acces delegat

• ▸Repetă verificarea în fiecare tenant gestionat, inclusiv conexiuni SkyKick dormante.
• ▸Cere furnizorului lista exactă a permisiunilor de aplicație și o dovadă a stării după incident, nu doar confirmarea că „a dezactivat aplicația”.
• ▸Planifică un mod de lucru fără backup-ul suspendat, deoarece restaurarea nu este disponibilă și nu există termen de reluare.

• ▸BleepingComputer — starea serviciilor și lista aplicațiilor

Închide alerta cu dovezi

Pentru fiecare tenant, păstrează lista aplicațiilor de terți cu permisiuni, starea celor șapte aplicații, perioada de autentificări verificată și interogările folosite, credențialele și rolurile găsite sau absența lor, măsurile de întărire aplicate și cine a confirmat. Un rezultat „nimic găsit” rămâne dovadă, dacă îi poți arăta interogarea și data.