Supply-chain атака через ConnectWise Cloud Backup

ConnectWise тимчасово вимкнула доступ клієнтів до сервісу Cloud Backup (раніше SkyKick Cloud Backup) після виявлення зловмисної активності, що призвела до компрометації тенантів Microsoft 365. Microsoft підтвердила інцидент і повідомила про неавторизовані спроби входу 15 жовтня з однієї IP-адреси.

Що сталося

У консультативному повідомленні ConnectWise заявила, що зафіксувала несанкціонований доступ до ідентичностей застосунків у середовищі Cloud Backup та відключила застосунковий доступ для партнерів і клієнтів. За даними компанії, наразі немає ознак, що архіви резервних копій були скомпрометовані; бекапи залишаються неушкодженими і будуть доступні після відновлення сервісу.

Cloud Backup працює на базі дозволів у Microsoft Entra ID: «service principal» у тенанті клієнта отримує доступ до ресурсів відповідно до наданих прав.

Як діяли зловмисники

За спостереженнями Microsoft, Huntress і Todyl, атака стартувала щонайменше 15 жовтня з IP 144.172.64[.]128. Дослідники Todyl повідомляють, що зловмисник автентифікувався безпосередньо як застосунок резервного копіювання, використовуючи його секрет. Оскільки це не передбачало входу користувача, багато захистів на кшталт MFA не спрацювали.

Через уже надані широкі дозволи застосунку в кожному тенанті такий вхід технічно відкривав доступ до читання/запису пошти та вкладень, файлів у OneDrive і SharePoint, а також чатів Teams. В окремих випадках спостерігалися спроби розвідки через Microsoft Graph API та додавання додаткових облікових даних.

Масштаб і розбіжності у спостереженнях

Huntress підтвердила щонайменше 162 скомпрометовані тенанти у своїй вибірці та зафіксувала, що service principal'и «ConnectWise’s Cloud Management apps» призначали собі ролі в каталозі, переважно Exchange Administrator. В одному з тенантів зловмисник закріпився менш ніж за п’ять хвилин, надавши Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) роль Global Administrator і додавши облікові дані до інструментів MSP і застосунку Huntress.

Водночас Todyl у дев’яти проаналізованих інцидентах бачила лише активність входу без ознак створення акаунтів, зміни паролів чи встановлення стійкої присутності через бекап-застосунок.

Індикатори та технічні деталі

Легітимний ID застосунку Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae (використовувався в атаках, за даними Huntress).
IP зловмисника: 144.172.64[.]128 (фіксували Microsoft, Huntress і Todyl).
Ознаки скриптових входів: 13–14 жовтня з user-agent curl/7.88.1; також помічені python-urllib/3.12, python-requests/2.31, python-requests/2.x.

Поточний стан

ConnectWise проводить розслідування та заходи з усунення наслідків. Microsoft Threat Intelligence класифікує інцидент як активну supply-chain атаку з імовірним зловживанням наданими дозволами, включно з Directory.ReadWrite.All.

Фото: BleepingComputer