ConnectWise остановила сервисы из-за компрометации учётных данных Microsoft 365

ConnectWise приостановила работу сервисов из-за компрометации учётных данных Microsoft 365

ConnectWise обнаружила несанкционированный доступ к идентификаторам приложений в своей облачной среде резервного копирования. Компания приостановила работу сервисов Cloud Backup, SaaS Security и Cloud Management. Приостановка затронула партнёров и клиентов, использующих Cloud Backup, ранее известного как SkyKick. Эти сервисы интегрированы с Cloud Backup, поэтому их приостановили из соображений предосторожности. Компания проводит расследование и устраняет последствия инцидента. По состоянию на 18 октября сервисы остаются недоступными. Клиенты не могут создавать резервные копии данных, получать доступ к архивам или восстанавливать информацию. Существующие архивы остаются зашифрованными, изолированными и сохранёнными. Нет свидетельств несанкционированного доступа к ним. Команды ConnectWise продолжают мониторинг затронутых сред, проводят криминалистический анализ и поиск угроз, а также устраняют уязвимости. ConnectWise не раскрывает подробностей инцидента, кроме индикаторов компрометации, связанных с несколькими IP-адресами и интеграциями сторонних приложений. Компания отключила некоторые интеграции между Cloud Backup и Exchange, Teams, SharePoint Online, а также собственными продуктами.

Компрометация учётных данных Microsoft 365 позволила получить несанкционированный доступ к средам клиентов

По данным исследовательской компании Huntress, был скомпрометирован учётный ключ Microsoft 365 (API secret) сервиса ConnectWise Cloud Backup. Этот ключ использовался для получения несанкционированного доступа к средам Microsoft 365 клиентов. В одном из клиентских окружений второе приложение ConnectWise, ConnectWise Cloud Management - MS Teams (Application ID 24205314-2b89-4e07-a2a4-579e898a5640), получило права глобального администратора. Затем оно добавило новые учётные данные к двум другим приложениям в этой среде. Отключение приложений Microsoft 365, включая скомпрометированные приложения ConnectWise, не удаляет уже добавленные учётные данные. Необходимо вручную проверять учётные данные всех приложений Microsoft 365. ConnectWise не может раскрывать информацию об атакующих, так как сосредоточена на расследовании, устранении последствий и поддержке клиентов. Компания призвала клиентов проверять свои среды Microsoft 365 на признаки компрометации. ConnectWise не имеет доступа к настройкам клиентских сред, поскольку является поставщиком платформы, а её клиенты — управляемые поставщики услуг (MSP), которые управляют конечными пользователями. MSP не обязаны раскрывать платформы, которые они используют для предоставления услуг. Атаки на компании, обслуживающие MSP, являются частой целью злоумышленников. Они рассматривают компрометацию таких платформ, как ConnectWise, как возможность получить доступ ко всем их партнёрам и конечным пользователям этих поставщиков услуг. Атака на Kaseya в 2021 году является наиболее известным примером такого инцидента.

Проверяйте среды Microsoft 365 на признаки компрометации

ConnectWise рекомендует клиентам самостоятельно проверять свои среды Microsoft 365 на наличие признаков компрометации. Компания не может предоставить информацию об атакующих, поскольку сосредоточена на расследовании и устранении последствий инцидента. Отключение скомпрометированных приложений ConnectWise не удаляет уже добавленные вредоносные учётные данные. Необходимо вручную проверять учётные данные всех приложений Microsoft 365. Управляемые поставщики услуг (MSP) должны проанализировать свои среды и среды своих клиентов на предмет несанкционированного доступа. Конечные пользователи, использующие услуги MSP, должны быть осведомлены о потенциальных рисках и запросить информацию у своих поставщиков услуг.