ConnectWise는 이전에 SkyKick Cloud Backup으로 알려졌던 Cloud Backup 서비스에 대한 파트너와 고객의 접근을 중단했습니다. 이는 Microsoft 365 테넌트를 침해하는 데 사용된 애플리케이션 ID에 대한 무단 접근이 발견된 이후의 조치입니다. Microsoft는 이 사건을 진행 중인 공급망 공격으로 규정했으며, Huntress는 자사 환경에서 최소 162개의 침해된 테넌트를 확인했다고 밝혔습니다.
활동 징후는 10월 15일 나타나기 시작했습니다. Microsoft, Huntress, Todyl은 144.172.64[.]128이라는 단일 IP 주소로 향한 로그인 시도를 추적했습니다. Microsoft는 ConnectWise Cloud Backup에서 무단 인증 시도가 발생했다고 확인했으며, ConnectWise는 애플리케이션의 시스템 접근을 차단하고 조사와 복구를 시작했다고 밝혔습니다.
백업 권한은 어떻게 악용됐나?
Microsoft 365 백업 서비스는 Microsoft Entra ID를 통해 부여된 권한에 의존합니다. 여기서 service principal이라는 애플리케이션 ID는 고객 테넌트 내의 프로그램을 나타냅니다. Todyl 연구진에 따르면 공격자는 애플리케이션 시크릿을 직접 사용해 인증했으며, 고객이 이전에 서비스에 부여한 권한을 악용했습니다.
이 과정에는 사용자 로그인이 필요하지 않았기 때문에 다중 인증만으로는 이를 차단하기에 충분하지 않았습니다. 광범위한 권한으로 인해 기술적으로 이메일과 첨부 파일, OneDrive 및 SharePoint 파일, Teams 채팅을 읽고 쓸 수 있었습니다. Todyl이 조사한 9건에서는 백업 애플리케이션을 통한 계정 생성, 비밀번호 변경 또는 지속성 메커니즘 구축의 증거를 찾지 못했습니다.
지속성 시도와 관리자 권한
Huntress는 약 50개 테넌트에서 Exchange Online, Microsoft Teams, Microsoft Graph용 ConnectWise Cloud Management 애플리케이션이 디렉터리 역할을 스스로 부여한 사실을 발견했습니다. 그중 가장 두드러진 역할은 Exchange Administrator였습니다. 한 사례에서는 Cloud Management - MS Teams 애플리케이션이 스스로 Global Administrator 역할을 부여하고, 기술 서비스 제공업체 관리 도구와 Huntress 애플리케이션에 자격 증명을 추가했습니다.
Microsoft는 애플리케이션 ID가 인증된 이후의 후속 활동도 확인했습니다. 이어 Microsoft Graph를 통한 정찰과 새로운 자격 증명 추가 시도가 발생했습니다. Microsoft는 공격자가 Directory.ReadWrite.All을 비롯한 기존 권한을 악용했을 가능성이 있다고 밝혔습니다.
Microsoft 365 관리자는 무엇을 검토해야 하나?
ConnectWise는 Entra에서 service principal 로그인 로그를 점검하고, Cloud Backup 애플리케이션 ID를 사용해 결과를 필터링한 뒤 예상치 못한 출발지 주소를 검토할 것을 권고합니다. Microsoft도 애플리케이션 자격 증명 변경, OAuth 동의, 관련 Graph 활동을 검토할 것을 권고합니다.
Huntress는 영향을 받은 애플리케이션을 비활성화해도 테넌트에 이미 추가된 자격 증명이 반드시 제거되는 것은 아니라고 경고합니다. 따라서 10월 13일 이후 모든 애플리케이션의 시크릿과 인증서를 검사해 무단 추가 여부를 확인해야 합니다. Todyl은 애플리케이션을 비활성화하면 새 토큰 발급은 차단되지만 기존 토큰은 만료될 때까지 무효화되지 않으며, 사용자 세션을 취소해도 애플리케이션 기반 접근은 중단되지 않는다고 설명합니다.
Huntress는 합법적인 Cloud Backup 애플리케이션 ID인 506e08f9-6e9a-4da4-942b-a099a03644ae와 함께 다른 Cloud Management 애플리케이션 ID도 식별했습니다. 또한 이 활동을 curl/7.88.1, python-urllib/3.12, python-requests/2.31, python-requests/2.34.2와 같은 사용자 에이전트와 연관 지었습니다.
피해 범위는 여전히 확인되지 않아
ConnectWise는 현재까지 저장된 백업 데이터가 침해됐다는 징후는 없으며, 서비스가 복구된 후에도 기존 아카이브를 계속 이용할 수 있다고 밝혔습니다. 그러나 최종 피해자 수와 유출됐을 가능성이 있는 데이터 규모, 공격자가 공급업체의 자격 증명을 확보한 방법은 아직 밝혀지지 않았습니다. 또한 서비스 중단만으로는 시크릿이나 인증서 또는 새로운 권한이 추가됐을 수 있는 테넌트 내부의 침해 영향을 해결하기에 충분하지 않습니다.