Компания ConnectWise объявила о приостановке ряда своих основных облачных служб, включая облачное резервное копирование (Cloud Backup), безопасность SaaS (SaaS Security) и управление облаком (Cloud Management), в связи с обнаружением небезопасной активности. Она заключалась в том, что злоумышленники использовали скомпрометированные учетные данные для получения доступа к средам клиентов на платформе Microsoft 365.
Хронология событий и затронутые службы
Кризис начался, когда компания зафиксировала несанкционированную активность в среде облачного резервного копирования, что побудило ее отключить службу, ранее известную как SkyKick, 17 октября, примерно через 12 часов после начала расследования. По мере расширения масштабов расследования компания на следующий день приняла решение превентивно отключить службы безопасности SaaS и управления облаком для реализации защитных мер и минимизации возможных последствий.
Эта профилактическая мера привела к нарушению графиков резервного копирования, доступа к архивам и операций восстановления, а также затронула мониторинг и оповещения безопасности SaaS, управление пользователями и лицензиями. На данный момент компания не представила точный график полного восстановления служб, однако она опубликовала технические рекомендации, чтобы помочь поставщикам управляемых услуг (MSP) проверить и защитить свои среды.
Характер взлома и роль компании Huntress
В свою очередь, компания по кибербезопасности Huntress пояснила, что скомпрометированные учетные данные резервного копирования использовались для доступа к клиентам Microsoft 365 с середины октября. Технический анализ показал, что типом учетных данных было подтверждение клиента (client assertion), что означает, что учетные данные находились внутри среды самого провайдера, а не были результатом действий со стороны клиентов.
Huntress зафиксировала активность с IP-адреса, который использовался в атаках методом подбора паролей (password spraying) против юридических фирм, где злоумышленники проникали с помощью скриптов, нацеленных на определенные списки в средах Entra. Несмотря на успешность некоторых попыток входа в систему, компания подтвердила, что для фактического доступа требовалось наличие служебного принципала (service principal) ConnectWise внутри целевого арендатора.
Что меняется на практике?
Владельцы бизнеса и ИТ-администраторы сталкиваются с серьезной ответственностью, заключающейся в проверке того, не изменил ли злоумышленник настройки платформы Microsoft 365 или не создал ли механизмы сохранения доступа (persistence) внутри своих арендаторов. По мнению экспертов по кибербезопасности, некоторые ИТ-администраторы ошибочно полагают, что Microsoft автоматически создает резервные копии конфигураций, из-за чего восстановление после подобных атак становится сложным процессом, требующим тщательного ручного аудита со стороны групп безопасности.