L'entreprise «ConnectWise» a annoncé la suspension de plusieurs de ses services cloud essentiels, incluant la sauvegarde cloud (Cloud Backup), la sécurité des logiciels en tant que service (SaaS Security) et la gestion cloud (Cloud Management), suite à la détection d'une activité non sécurisée consistant en l'exploitation par des attaquants d'identifiants compromis pour accéder aux environnements clients sur la plateforme «Microsoft 365».
Chronologie des événements et services touchés
La crise a débuté lorsque l'entreprise a détecté des activités non autorisées au sein de son environnement de sauvegarde cloud, ce qui l'a poussée à interrompre le service, connu auparavant sous le nom de «SkyKick», le 17 octobre, environ 12 heures après le début des enquêtes. Avec l'élargissement du périmètre de l'enquête, l'entreprise a décidé le jour suivant de suspendre à titre précautionneux les services de sécurité SaaS et de gestion cloud afin de déployer des mesures de protection et d'atténuer les impacts potentiels.
Cette mesure préventive a entraîné la perturbation des plannings de sauvegarde, de l'accès aux archives et des opérations de restauration, en plus de l'affectation de la surveillance et des alertes de sécurité SaaS, ainsi que de la gestion des utilisateurs et des licences. L'entreprise n'a pas encore fourni de calendrier précis pour le rétablissement complet des services, mais a publié des directives techniques pour aider les fournisseurs de services gérés (MSP) à examiner et à sécuriser leurs environnements.
Nature de l'intrusion et rôle de l'entreprise Huntress
De son côté, la société de cybersécurité «Huntress» a expliqué que les identifiants de sauvegarde compromis ont été utilisés pour accéder aux locataires Microsoft 365 à partir de la mi-octobre. Les analyses techniques ont indiqué que le type d'identifiant était une assertion de client (client assertion), ce qui signifie que l'identifiant se trouvait au sein de l'environnement du fournisseur lui-même et ne résultait pas d'une action de la part des clients.
Huntress a détecté une activité provenant d'une adresse de protocole Internet (IP) utilisée dans des attaques de bourrage de mots de passe (password spraying) contre des cabinets d'avocats, où les attaquants se sont infiltrés via des scripts ciblant des listes spécifiques dans les environnements «Entra». Malgré le succès de certaines tentatives de connexion, l'entreprise a souligné que l'accès effectif a nécessité la présence du principal de service (service principal) de ConnectWise au sein du locataire ciblé.
Qu'est-ce qui change concrètement ?
Les chefs d'entreprise et les responsables informatiques font face à une lourde responsabilité consistant à vérifier que la partie attaquante n'a pas modifié les paramètres de la plateforme Microsoft 365 ou créé des mécanismes de persistance au sein de leurs locataires. Selon les experts en cybersécurité, certains responsables informatiques croient à tort que Microsoft effectue automatiquement des sauvegardes des paramètres de configuration, ce qui rend la récupération après de telles attaques complexe et nécessite un audit manuel approfondi de la part des équipes de sécurité.