ConnectWise a suspendu l’accès des partenaires et des clients au service Cloud Backup, anciennement connu sous le nom de SkyKick Cloud Backup, après avoir découvert un accès non autorisé à des identités applicatives utilisées pour compromettre des locataires Microsoft 365. Microsoft a qualifié l’incident d’attaque active de la chaîne d’approvisionnement, tandis que Huntress a déclaré avoir détecté au moins 162 locataires compromis dans son environnement.
Les premiers signes de l’activité sont apparus le 15 octobre. Microsoft, Huntress et Todyl ont suivi des tentatives de connexion vers une même adresse IP, 144.172.64[.]128. Microsoft a confirmé que ConnectWise Cloud Backup avait fait l’objet de tentatives d’authentification non autorisées, tandis que ConnectWise a déclaré avoir bloqué l’accès des applications à ses systèmes et commencé les opérations d’enquête et de remédiation.
Comment les autorisations de sauvegarde ont-elles été exploitées ?
Le service de sauvegarde de Microsoft 365 s’appuie sur des autorisations accordées via Microsoft Entra ID, où une identité applicative connue sous le nom de principal de service représente le programme au sein du locataire du client. Selon les chercheurs de Todyl, l’attaquant s’est authentifié directement à l’aide du secret de l’application, en exploitant les autorisations que les clients avaient précédemment accordées au service.
L’opération ne nécessitait pas de connexion d’un utilisateur : l’authentification multifacteur n’était donc pas suffisante pour l’empêcher. Les autorisations étendues permettaient techniquement de lire et d’écrire des e-mails et des pièces jointes, ainsi que des fichiers OneDrive et SharePoint et des conversations Teams. Dans neuf opérations examinées par Todyl, l’entreprise n’a trouvé aucune preuve de création de comptes, de modification de mots de passe ou de mise en place d’un mécanisme de persistance via l’application de sauvegarde.
Tentatives de persistance et autorisations administratives
Huntress a observé chez environ 50 locataires que les applications ConnectWise Cloud Management associées à Exchange Online, Microsoft Teams et Microsoft Graph s’étaient attribué des rôles dans l’annuaire, notamment le rôle Exchange Administrator. Dans un cas, l’application Cloud Management - MS Teams s’est attribué le rôle Global Administrator et a ajouté des identifiants à un outil de gestion des services destiné aux fournisseurs de technologies ainsi qu’à une application Huntress.
Microsoft a également détecté une activité en arrière-plan après l’authentification de l’identité applicative, suivie d’une reconnaissance via Microsoft Graph et de tentatives d’ajout de nouveaux identifiants. Microsoft indique que l’attaquant a peut-être exploité des autorisations existantes, notamment Directory.ReadWrite.All.
Que doivent examiner les administrateurs Microsoft 365 ?
ConnectWise recommande d’examiner les journaux de connexion des principaux de service dans Entra, de filtrer les résultats à l’aide de l’identifiant de l’application Cloud Backup, puis de vérifier les adresses sources inattendues. Microsoft recommande également d’examiner les modifications des identifiants des applications, les octrois OAuth et l’activité Graph associée.
Huntress avertit que la désactivation des applications touchées ne supprime pas nécessairement les identifiants précédemment ajoutés au locataire. Il convient donc d’examiner les secrets et les certificats de toutes les applications afin de détecter d’éventuels ajouts non autorisés depuis le 13 octobre. Todyl indique que la désactivation de l’application empêche l’émission de nouveaux jetons, mais n’invalide pas les jetons existants jusqu’à leur expiration. De même, la révocation des sessions utilisateur ne bloque pas l’accès fondé sur les applications.
Huntress a identifié l’identifiant légitime de l’application Cloud Backup : 506e08f9-6e9a-4da4-942b-a099a03644ae, ainsi que les identifiants d’autres applications Cloud Management. L’entreprise a également associé l’activité à des agents utilisateurs tels que curl/7.88.1, python-urllib/3.12, python-requests/2.31 et python-requests/2.34.2.
L’étendue des dommages reste indéterminée
ConnectWise a déclaré qu’aucun signe de compromission des données de sauvegarde stockées n’avait été détecté à ce stade et que les archives actuelles resteraient accessibles après le rétablissement du service. Toutefois, le nombre définitif de victimes, le volume des données susceptibles d’avoir été dérobées et la manière dont l’attaquant a obtenu les identifiants du fournisseur ne sont pas encore connus. En outre, la suspension du service ne suffit pas à elle seule à traiter les conséquences de la compromission au sein de locataires auxquels de nouveaux secrets, certificats ou privilèges ont pu être ajoutés.