ConnectWise приостановила Cloud Backup после компрометации клиентов Microsoft 365
Злоумышленники получили несанкционированный доступ к учётным данным приложений ConnectWise и использовали их для атак на арендаторов Microsoft 365. Компания отключила семь идентификаторов приложений и временно вывела из работы несколько облачных сервисов.
ConnectWise приостановила работу сервиса Cloud Backup после инцидента, в ходе которого неизвестные злоумышленники получили доступ к идентификаторам её приложений и скомпрометировали арендаторов Microsoft 365 клиентов. 17 октября компания отключила семь связанных с облачными продуктами идентификаторов приложений, включая ConnectWise Cloud Backup и компоненты Cloud Management для Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center и SharePoint Online.
Для Cloud Backup ConnectWise отозвала сертификаты, применявшиеся для подключений к затронутым приложениям у всех пользователей. Компания предупреждает: это блокирует новые аутентификации через данные подключения, но не отменяет изменения, которые уже были внесены в арендаторах. Ранее выданные токены доступа могут действовать до истечения срока или принудительного отзыва, а созданные злоумышленниками учётные данные, разрешения и другие механизмы доступа требуют отдельной проверки.
Запланированные резервные копии сейчас не выполняются; доступ к затронутым архивам и их восстановлению также недоступен. По заявлению ConnectWise, существующие архивы остаются зашифрованными, изолированными и сохранёнными, а признаков доступа к ним со стороны атакующих нет. В качестве дополнительной меры компания временно отключила SaaS Security и Cloud Management.
О проблеме ConnectWise сообщила после обнаружения подозрительной активности 14 октября. Причина компрометации идентификаторов приложений пока не установлена: компания продолжает выяснять, были ли к инциденту причастны уязвимость продукта и каким именно образом могли быть раскрыты учётные данные.
Риск связан с тем, что доступ к учётным данным приложения позволяет обращаться к средам Microsoft 365 от имени самого приложения, не подбирая или не похищая пароль каждого клиента. При широких разрешениях такие полномочия потенциально дают доступ к почте, документам SharePoint, сообщениям Teams и данным каталога, а также позволяют закрепиться в скомпрометированной среде через новые разрешения или учётные данные приложений.
ConnectWise утверждает, что после внедрения защитных мер не наблюдает успешной активности злоумышленников в доступных ей средах, но отдельно оговаривает, что не может напрямую контролировать состояние клиентских арендаторов. Исследователи Huntress сообщили, что не видели новой вредоносной активности после 15 октября, однако зафиксировали в этот день вторую волну неудачных попыток против 16 арендаторов из сфер политики, национальной безопасности, торговли и критически важных минералов.