Атака на цепочку поставок затронула облачный сервис резервного копирования ConnectWise Cloud Backup. По данным исследователей, злоумышленники использовали скомпрометированные учетные данные приложения для получения несанкционированного доступа к клиентским тенантам Microsoft 365, что вынудило компанию приостановить работу сервиса.
Масштабы компрометации тенантов Microsoft 365 через ConnectWise Cloud Backup
Кибератака затронула облачный сервис резервного копирования ConnectWise Cloud Backup, известный ранее под названием SkyKick Cloud Backup. По информации BreachNews, инцидент позволил злоумышленникам эксплуатировать доверенные учетные данные приложений и получить несанкционированный доступ к средам Microsoft 365 сотен организаций. Специалисты компании Huntress зафиксировали подозрительную активность аутентификации почти в 1000 тенантах Microsoft Entra, при этом число успешных входов превысило 300.
Изначальные данные от 16 октября указывали по меньшей мере на 162 затронутых тенанта. Однако последующий анализ расширил масштаб наблюдений. Нападение продемонстрировало уязвимость современных облачных экосистем, где доверенное стороннее ПО обладает расширенными правами на чтение и управление данными.
Компания ConnectWise приняла решение полностью закрыть клиентский доступ к своей службе облачного резервного копирования после официального подтверждения того, что злоумышленники завладели идентификаторами приложения. Полученный доступ использовался для компрометации нижестоящих тенантов Microsoft 365. Исследователи из Huntress наблюдали подтвержденные несанкционированные входы в 173 партнерских и клиентских тенантах, использующих скомпрометированные учетные данные поставщика.
В компании Microsoft в официальном посте в социальной сети X сообщили об отслеживании активной атаки на цепочку поставок. По данным технологического гиганта, злоумышленник скомпрометировал доверенное приложение OAuth резервного копирования ConnectWise Cloud Backup с идентификатором AppId 506e08f9-6e9a-4da4-942b-a099a03644ae. Это позволило получить маркеры доступа в клиентских тенантах за счет прав, которые ранее были предоставлены сервису резервного копирования.
Атака на учетные записи и расширение привилегий в инфраструктуре
Злоумышленники использовали скомпрометированные учетные данные приложения, обладающего широкими полномочиями для защиты корпоративных данных. Платформы резервного копирования требуют доступа к почтовым ящикам Exchange Online, файлам SharePoint и OneDrive, а также к каталогам тенантов. Это позволяет обходить стандартную многофакторную аутентификацию сотрудников.
ConnectWise Attack Exposes Microsoft 365 Supply-Chain Security RisksA compromised third-party application credential has exposed a major security risk for organizations using Microsoft 365.Security firm Huntress reported unauthorized sign-ins across 173 Microsoft 365 tenants… pic.twitter.com/P7yiisF2Xf
Это разрешение охватывает чтение и запись электронной почты и вложений через Exchange Web Services, а также доступ к файлам в OneDrive и SharePoint, чатам Teams и функциям восстановления информации.
Согласно техническому анализу, зафиксированному в материалах The Hacker News, одна из учетных записей ConnectWise Cloud Management для Microsoft Teams добавила себя в роль глобального администратора.
Джонатан Симон сообщил изданию The Hacker News, что «приложение ConnectWise Cloud Management для Microsoft Teams (с идентификатором 24205314-2b89-4e07-a2a4-579e898a5640) добавило себя в роль глобального администратора, после чего запустило Python-скрипт (User-Agent Python-urllib/3.12), который модифицировал два других приложения в тенанте: MSP-приложение для управления и собственное приложение Huntress (Huntress Security Platform), добавив обоим новые клиентские секреты».
Исследователи отмечают, что зафиксированная активность совпадает с техникой T1098.001 по классификации MITRE ATT&CK. Закрытие исходного маршрута доступа не приводит автоматически к аннулированию учетных данных, привязанных к другому приложению, что ставит перед специалистами по реагированию задачу одновременной изоляции интеграции поставщика и проверки дополнительных идентификаторов.
Меры реагирования ConnectWise и рекомендации для администраторов
В ответ на инцидент компания ConnectWise приостановила доступ клиентов к службе Cloud Backup и отозвала сертификаты, связанные скомпрометированными подключениями. В своем обновлении компания подтвердила факт несанкционированного доступа к идентификаторам приложений в своей среде, однако подчеркнула отсутствие признаков кражи самих архивных данных резервных копий. Представители компании указали, что существующие резервные данные остаются неизменными, а безопасность архивов следует рассматривать отдельно от того, к чему злоумышленники могли получить доступ внутри подключенных сред Microsoft 365.
Специалисты по безопасности рекомендуют администраторам Microsoft 365 незамедлительно проверить журналы входов в Центре администрирования Microsoft Entra. Также советуют отключить приложение до тех пор, пока производитель не подтвердит сброс всех учетных данных, включить ведение журналов активности Microsoft Graph, выполнить аудит на предмет добавления новых секретов и ключей, а также проверить журналы аудита на наличие случаев самостоятельного добавления приложений ConnectWise или SkyKick в роли каталога.
Для усиления безопасности рекомендуется развернуть условный доступ для рабочих нагрузок с ограничением запросов токенов резервного копирования в пределах опубликованных диапазонов исходящих IP-адресов ConnectWise, что требует наличия подписок Entra ID P2 или Workload Identities Premium.
Ещё по теме: Cloud Backup
RAPID RESPONSE: Huntress has become aware of a widespread security incident involving ConnectWise Cloud Backup (formerly SkyKick).We’ve confirmed that an unknown threat actor abused the access they obtained in SkyKick to pivot to access customers' Microsoft 365 environments. 🧵
A compromised ConnectWise Cloud Backup credential was used to authenticate into 173 Microsoft 365 tenants in under two and a half hours, with one tenant showing Global Administrator privilege escalation and backdoored trusted apps.Key findings:- On October 15 between 06:13… pic.twitter.com/PAfTJ20Qg6
Microsoft Threat Intelligence is tracking an active supply chain attack in which a threat actor compromised the trusted OAuth App of the backup application ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), formerly SkyKick Backup, to obtain access tokens… pic.twitter.com/5FF8H30jaX
Ещё по этой теме
