Скомпрометированные учётные данные ConnectWise использовали для входа в 173 тенанта Microsoft 365

Неизвестные атакующие воспользовались скомпрометированными учётными данными ConnectWise Cloud Backup для несанкционированного входа в 173 тенанта Microsoft 365. Об этом сообщила компания Huntress, наблюдавшая подтверждённые входы в средах партнёров и клиентов сервиса.

ConnectWise Cloud Backup, ранее известный как SkyKick, предназначен для резервного копирования и восстановления данных Microsoft 365 и Google Workspace для поставщиков управляемых услуг. Для работы в тенантах Microsoft 365 приложение получает широкие разрешения на доступ к почте, OneDrive, SharePoint, Teams и данным каталога. Получив его учётные данные, злоумышленник может выпускать токены с уже выданными приложению правами.

По данным исследователя Huntress Джонатана Семона, 15 октября с IP-адреса 144.172.64[.]128 были получены токены Microsoft Graph в клиентских тенантах. Входы происходили с 06:13 до 08:34 UTC, причём атакующий перебирал тенанты в порядке GUID с интервалом в несколько секунд. Это, по оценке Huntress, указывает на автоматизированный сценарий и заранее подготовленный список целей.

Todyl также зафиксировала аутентификацию постороннего лица в Microsoft Graph от имени приложения ConnectWise Cloud Backup. Компания указывает, что унаследованные разрешения позволяют читать и изменять почту и вложения, получать доступ к файлам OneDrive и SharePoint, чатам Teams, а также восстанавливать данные. Отзыв пользовательских сессий не прекращает такой доступ: отключение приложения останавливает выдачу новых токенов, но уже выданные могут действовать до 90 минут.

В одном из партнёрских тенантов Huntress обнаружила отдельное приложение ConnectWise Cloud Management для Microsoft Teams, которое назначило себе роль Global Administrator. Затем оно запустило Python-скрипт и добавило новые клиентские секреты двум доверенным приложениям — инструменту управления MSP и платформе Huntress Security Platform. По оценке исследователей, это могло расширить доступ за пределы одного тенанта, поскольку приложения для управления MSP нередко подключены также к средам клиентов.

Huntress отдельно сообщила, что тот же IP-адрес 13 и 14 октября применялся для password spraying против четырёх тенантов юридических фирм. Успешных пользовательских входов в своей телеметрии компания не обнаружила.

ConnectWise закрыла доступ приложения Cloud Backup до дальнейшего уведомления. Компания заявила, что не нашла свидетельств компрометации данных резервных копий партнёров. Для проверки инцидента ConnectWise рекомендует анализировать журналы входов сервисных субъектов в Microsoft Entra по идентификатору приложения 506e08f9-6e9a-4da4-942b-a099a03644ae и обращать внимание на активность с IP-адресов вне ожидаемых диапазонов Microsoft и Azure.