ConnectWise приостановила доступ партнёров и клиентов к сервису Cloud Backup, ранее известному как SkyKick Cloud Backup, после обнаружения несанкционированного доступа к приложениям-идентификаторам, использованным для взлома арендаторов Microsoft 365. Microsoft назвала инцидент активной атакой на цепочку поставок, а Huntress сообщила, что выявила как минимум 162 взломанных арендатора в своей среде.
Первые признаки активности появились 15 октября. Microsoft, Huntress и Todyl отслеживали попытки входа с одного IP-адреса: 144.172.64[.]128. Microsoft подтвердила, что в ConnectWise Cloud Backup предпринимались несанкционированные попытки аутентификации, а ConnectWise заявила, что заблокировала доступ приложений к своим системам и начала расследование и устранение последствий.
Как были использованы полномочия резервного копирования?
Сервис резервного копирования Microsoft 365 использует полномочия, предоставленные через Microsoft Entra ID, где приложение-идентификатор, известное как service principal, представляет программу в арендаторе клиента. По словам исследователей Todyl, злоумышленник выполнил аутентификацию напрямую с использованием секрета приложения, воспользовавшись полномочиями, ранее предоставленными клиентами сервису.
Для этой операции вход пользователя не требовался, поэтому многофакторная аутентификация не могла эффективно её предотвратить. Широкие полномочия технически позволяли читать и записывать электронную почту и вложения, файлы OneDrive и SharePoint, а также чаты Teams. В девяти проверенных Todyl случаях компания не обнаружила доказательств создания учётных записей, изменения паролей или создания механизма сохранения доступа через приложение резервного копирования.
Попытки закрепления и административные полномочия
Примерно у 50 арендаторов Huntress обнаружила, что приложения ConnectWise Cloud Management для Exchange Online, Microsoft Teams и Microsoft Graph самостоятельно назначили себе роли в каталоге. Наиболее заметной из них была роль Exchange Administrator. В одном случае приложение Cloud Management - MS Teams назначило себе роль Global Administrator и добавило учётные данные в инструмент управления услугами поставщиков ИТ и в приложение Huntress.
Microsoft также зафиксировала фоновую активность после аутентификации приложения-идентификатора, за которой последовали разведка через Microsoft Graph и попытки добавить новые учётные данные. Microsoft указывает, что злоумышленник мог воспользоваться существующими полномочиями, включая Directory.ReadWrite.All.
Что следует проверить администраторам Microsoft 365?
ConnectWise рекомендует проверить журналы входа service principals в Entra, отфильтровать результаты по идентификатору приложения Cloud Backup, а затем изучить неожиданные исходные адреса. Microsoft также рекомендует проверить изменения учётных данных приложений, предоставление разрешений OAuth и связанную с Graph активность.
Huntress предупреждает, что отключение затронутых приложений не обязательно удаляет учётные данные, ранее добавленные в арендатора. Поэтому следует проверить секреты и сертификаты во всех приложениях на наличие несанкционированных добавлений начиная с 13 октября. Todyl указывает, что отключение приложения препятствует выпуску новых токенов, но не отзывает действующие токены до истечения срока их действия. Кроме того, отзыв пользовательских сеансов не прекращает доступ, основанный на приложениях.
Huntress определила идентификатор легитимного приложения Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae, а также другие идентификаторы приложений Cloud Management. Она также связала активность с такими агентами пользователя, как curl/7.88.1, python-urllib/3.12, python-requests/2.31 и python-requests/2.34.2.
Масштаб ущерба по-прежнему не установлен
ConnectWise заявила, что на данный момент отсутствуют признаки компрометации хранящихся резервных копий и что существующие архивы останутся доступными после восстановления сервиса. Однако окончательное число жертв, объём данных, которые могли быть похищены, и способ получения злоумышленником учётных данных поставщика пока не установлены. Кроме того, одной приостановки сервиса недостаточно для устранения последствий взлома внутри арендаторов, в которые могли быть добавлены новые секреты, сертификаты или полномочия.