A ConnectWise interrompeu o acesso de parceiros e clientes ao serviço Cloud Backup, anteriormente conhecido como SkyKick Cloud Backup, após descobrir acesso não autorizado a identidades de aplicativos usadas para comprometer locatários do Microsoft 365. A Microsoft descreveu o incidente como um ataque ativo à cadeia de fornecimento, enquanto a Huntress afirmou ter identificado pelo menos 162 locatários comprometidos em seu ambiente.
Os primeiros indícios da atividade começaram a aparecer em 15 de outubro, e a Microsoft, a Huntress e a Todyl rastrearam tentativas de login a partir de um único endereço IP: 144.172.64[.]128. A Microsoft confirmou que o ConnectWise Cloud Backup registrou tentativas de autenticação não autorizadas, enquanto a ConnectWise afirmou ter bloqueado o acesso dos aplicativos aos seus sistemas e iniciado a investigação e a remediação.
Como as permissões de backup foram exploradas?
O serviço de backup do Microsoft 365 depende de permissões concedidas por meio do Microsoft Entra ID, no qual uma identidade de aplicativo conhecida como service principal representa o software dentro do locatário do cliente. Segundo pesquisadores da Todyl, o invasor se autenticou diretamente usando o segredo do aplicativo, aproveitando as permissões que os clientes já haviam concedido ao serviço.
O processo não exigia o login de um usuário e, portanto, a autenticação multifator não era suficiente para impedi-lo. As permissões amplas permitiam tecnicamente ler e gravar e-mails e anexos, arquivos do OneDrive e do SharePoint e conversas do Teams. Nas nove operações examinadas pela Todyl, a empresa não encontrou evidências de criação de contas, alteração de senhas ou estabelecimento de persistência por meio do aplicativo de backup.
Tentativas de persistência e permissões administrativas
A Huntress identificou em cerca de 50 locatários que os aplicativos ConnectWise Cloud Management para Exchange Online, Microsoft Teams e Microsoft Graph haviam concedido a si próprios funções no diretório, sendo a mais proeminente a função Exchange Administrator. Em um caso, o aplicativo Cloud Management - MS Teams concedeu a si próprio a função Global Administrator e adicionou credenciais a uma ferramenta de gerenciamento de serviços de provedores de tecnologia e ao aplicativo da Huntress.
A Microsoft também identificou atividade em segundo plano após a autenticação da identidade do aplicativo, seguida de reconhecimento por meio do Microsoft Graph e tentativas de adicionar novas credenciais. A Microsoft indica que o invasor pode ter explorado permissões existentes, incluindo Directory.ReadWrite.All.
O que os administradores do Microsoft 365 devem revisar?
A ConnectWise recomenda examinar os logs de login de service principals no Entra, filtrar os resultados usando o ID do aplicativo Cloud Backup e, em seguida, revisar endereços de origem inesperados. A Microsoft também recomenda revisar alterações nas credenciais dos aplicativos, concessões OAuth e atividades relacionadas ao Graph.
A Huntress alerta que desabilitar os aplicativos afetados não remove necessariamente as credenciais adicionadas anteriormente ao locatário. Por isso, é necessário examinar os segredos e certificados de todos os aplicativos em busca de adições não autorizadas desde 13 de outubro. A Todyl observa que desabilitar o aplicativo impede a emissão de novos tokens, mas não invalida os tokens existentes até que expirem; além disso, revogar as sessões dos usuários não interrompe o acesso baseado em aplicativos.
A Huntress identificou o ID legítimo do aplicativo Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae, além de outros IDs de aplicativos Cloud Management. A atividade também foi associada a agentes de usuário como curl/7.88.1, python-urllib/3.12, python-requests/2.31 e python-requests/2.34.2.
Ainda não está claro o alcance dos danos
A ConnectWise afirmou que, até o momento, não há indícios de comprometimento dos dados de backup armazenados e que os arquivos atuais continuarão disponíveis após a restauração do serviço. No entanto, o número final de vítimas, o volume de dados que pode ter sido roubado e a forma como o invasor obteve as credenciais do fornecedor ainda não foram esclarecidos. Além disso, interromper o serviço por si só não é suficiente para remediar os efeitos do comprometimento dentro de locatários aos quais podem ter sido adicionados segredos, certificados ou novas permissões.