Хакеры взломали Microsoft 365 через уязвимость в сервисе резервного копирования ConnectWise

ConnectWise остановил доступ к сервису резервного копирования после взлома Microsoft 365

Компания ConnectWise приостановила доступ клиентов к своему сервису Cloud Backup. Причиной стало получение злоумышленниками идентификаторов приложений и компрометация Microsoft 365. Инцидент затронул клиентов, использующих сервис для резервного копирования данных в облачных средах, включая Microsoft 365 и Google Workspace. Сервис полагается на разрешения, предоставленные через Microsoft Entra ID, используя идентификатор приложения, известный как "service principal". Этот идентификатор представляет программное обеспечение в клиенте и позволяет ему получать доступ к ресурсам согласно выданным разрешениям.

Злоумышленники использовали секреты приложений для аутентификации в Microsoft 365

Атака началась не позднее 15 октября с одного IP-адреса: 144.172.64[.]128. Злоумышленники аутентифицировались непосредственно в Microsoft 365 от имени приложения резервного копирования, используя его секрет. Это позволило им получить доступ к данным, используя ранее предоставленные клиентами разрешения. Поскольку атака проводилась с помощью автоматизированного скрипта и не требовала входа пользователя, многофакторная аутентификация (MFA) оказалась неэффективной. Полученные разрешения позволили читать и записывать электронную почту, файлы OneDrive и SharePoint, а также чаты Teams. В некоторых случаях злоумышленники назначали себе роли администратора Exchange или даже глобального администратора. Также зафиксированы попытки установить персистентность в системе через бэкдор и сбор информации через Microsoft Graph API.

Атака затронула как минимум 162 клиента Microsoft 365

О взломе стало известно в пятницу, когда администраторы начали замечать несанкционированный доступ к данным клиентов. Платформа кибербезопасности Huntress подтвердила опасения, обнаружив как минимум 162 скомпрометированных клиента в своей среде. Microsoft также подтвердила вредоносную активность, зафиксировав попытки несанкционированной аутентификации с подозрительного IP-адреса 15 октября. Исследователи Todyl зафиксировали в девяти проанализированных клиентах только активность входа, без создания новых учетных записей или изменения разрешений. Однако Huntress обнаружила, что в почти 50 клиентах злоумышленники назначали себе роли администратора Exchange. В одном случае атака заняла около пяти минут и привела к назначению роли глобального администратора.

Проверьте журналы входа и отключите скомпрометированные приложения

ConnectWise рекомендует администраторам проверять входы service principal в Entra, фильтруя по идентификатору приложения Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae) и анализируя неожиданные исходные адреса. Microsoft предлагает просматривать изменения учетных данных приложений, OAuth-разрешения и связанную активность Graph. Huntress советует отключить затронутые приложения ConnectWise, проверить учетные данные приложений на наличие несанкционированных добавлений и просмотреть другие интеграции Cloud Management. Следует учитывать, что старые клиенты могут отображать приложения Cloud Management под названием 'SkyKick Cloud Manager'. Компания предоставила список идентификаторов приложений для проверки: ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae), ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83), ConnectWise Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640), ConnectWise Cloud Management - Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519), ConnectWise Cloud Management - MS Graph (0de14c77-b9b0-4137-9360-34878a929827), ConnectWise Cloud Management - Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e), ConnectWise Cloud Management - SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb). Отключение приложения не удаляет уже внедренные учетные данные; администраторы должны проверять секреты и сертификаты всех приложений на наличие несанкционированных добавлений с 13 октября и удалять их. Отключение приложения останавливает выпуск новых токенов, но существующие остаются действительными до истечения срока действия.