ConnectWiseは、旧称SkyKick Cloud Backupとして知られるCloud Backupサービスについて、Microsoft 365テナントへの侵入に使用されたアプリケーションIDへの不正アクセスが発覚した後、パートナーおよび顧客によるアクセスを停止しました。Microsoftはこの事案を進行中のサプライチェーン攻撃と説明し、Huntressは自社環境内で少なくとも162の侵害されたテナントを確認したと述べています。
活動の兆候は10月15日に現れ始め、Microsoft、Huntress、Todylは、144.172.64[.]128という単一のIPアドレスへのログイン試行を追跡しました。Microsoftは、ConnectWise Cloud Backupで不正な認証試行が発生したことを確認しました。一方、ConnectWiseは、自社システムへのアプリケーションアクセスを遮断し、調査と修復を開始したと述べています。
バックアップ権限はどのように悪用されたのか
Microsoft 365のバックアップサービスは、Microsoft Entra IDを通じて付与された権限に依存しています。ここで、service principalと呼ばれるアプリケーションIDは、顧客のテナント内でプログラムを表します。Todylの研究者によると、攻撃者はアプリケーションシークレットを直接使用して認証し、顧客がサービスに以前付与していた権限を悪用しました。
この処理にはユーザーのログインが必要なかったため、多要素認証だけでは防止できませんでした。広範な権限により、技術的にはメールと添付ファイル、OneDriveおよびSharePointのファイル、Teamsのチャットを読み書きできました。Todylが調査した9件の事例では、アカウントの作成、パスワードの変更、またはバックアップアプリケーションを介した永続化メカニズムの作成を示す証拠は見つかりませんでした。
永続化の試みと管理者権限
Huntressは約50のテナントで、Exchange Online、Microsoft Teams、Microsoft Graph用のConnectWise Cloud Managementアプリケーションが、自らにディレクトリ内のロールを付与していたことを確認しました。最も目立ったのはExchange Administratorロールです。ある事例では、Cloud Management - MS Teamsアプリケーションが自らにGlobal Administratorロールを付与し、ITサービスプロバイダー向けのサービス管理ツールとHuntressアプリケーションに認証情報を追加しました。
Microsoftは、アプリケーションIDの認証後にバックグラウンド活動が発生し、その後Microsoft Graphを通じた偵察と新たな認証情報の追加試行が行われたことも確認しました。Microsoftによると、攻撃者はDirectory.ReadWrite.Allなどの既存の権限を悪用した可能性があります。
Microsoft 365管理者が確認すべきこと
ConnectWiseは、Entraにおけるservice principalのサインインログを調査し、Cloud BackupアプリケーションIDを使って結果を絞り込んだうえで、予期しない送信元アドレスを確認するよう推奨しています。またMicrosoftは、アプリケーションの認証情報の変更、OAuthの付与、関連するGraphの活動を確認するよう推奨しています。
Huntressは、影響を受けたアプリケーションを無効化しても、テナントに事前に追加された認証情報が必ずしも削除されるわけではないと警告しています。そのため、13日以降に不正に追加されたものがないか、すべてのアプリケーションのシークレットと証明書を確認する必要があります。Todylによると、アプリケーションを無効化すると新しいトークンの発行は阻止できますが、既存のトークンは有効期限が切れるまで無効になりません。また、ユーザーセッションを取り消しても、アプリケーションベースのアクセスは停止しません。
Huntressは、正規のCloud BackupアプリケーションIDとして506e08f9-6e9a-4da4-942b-a099a03644aeを特定し、その他のCloud ManagementアプリケーションIDも示しました。また、活動をcurl/7.88.1、python-urllib/3.12、python-requests/2.31、python-requests/2.34.2などのユーザーエージェントと関連付けました。
被害の範囲は依然として不明
ConnectWiseは現時点で、保存されているバックアップデータが侵害された兆候はなく、サービス復旧後も現在のアーカイブは利用可能な状態にとどまると述べています。しかし、最終的な被害者数、盗まれた可能性のあるデータ量、攻撃者がどのようにベンダーの認証情報を入手したのかは、まだ明らかになっていません。また、サービスを停止するだけでは、シークレット、証明書、新たな権限が追加された可能性のあるテナント内部の侵害の影響に対処するには不十分です。