Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Atak na ConnectWise otworzył dostęp do środowisk Microsoft 365
ConnectWise wstrzymał dostęp klientów do usługi Cloud Backup po wykryciu nieautoryzowanego dostępu do tożsamości aplikacyjnych.
Huntress potwierdził co najmniej 162 naruszone dzierżawy w swoim środowisku monitorowania.
Atakujący mogli wykorzystać wcześniej przyznane uprawnienia do poczty, plików i komunikacji w Microsoft 365.
Samo wyłączenie aplikacji nie usuwa automatycznie wcześniej dodanych poświadczeń ani aktywnych tokenów.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
ConnectWise wyłączył dostęp klientów do usługi Cloud Backup, wcześniej oferowanej jako SkyKick Cloud Backup, po wykryciu nieautoryzowanego dostępu do tożsamości aplikacyjnych. Incydent dotknął środowiska Microsoft 365, w których usługa miała już przyznane uprawnienia do wykonywania kopii zapasowych i odzyskiwania danych. Według dotychczasowych ustaleń atakujący wykorzystywał te uprawnienia do logowania się jako aplikacja, a nie jako użytkownik.
Co wiadomo o incydencie
Pierwsze sygnały o podejrzanej aktywności pojawiły się 15 października. Administratorzy informowali o nieautoryzowanym dostępie do danych klientów w dzierżawach Microsoft 365, czyli odrębnych środowiskach organizacji w tej usłudze. Tego samego dnia Microsoft potwierdził próby uwierzytelniania z nieautoryzowanego źródła, a platforma Huntress poinformowała, że w monitorowanym przez nią środowisku zidentyfikowała co najmniej 162 naruszone dzierżawy. ConnectWise ogłosił przerwę w działaniu usługi 17 października o godzinie 05:01 czasu UTC, bez podania terminu przywrócenia połączeń.
ConnectWise prowadzi dochodzenie i działania naprawcze po wykryciu dostępu do tożsamości aplikacyjnych w środowisku Cloud Backup.
Huntress wykrył nieprawidłowości w co najmniej 162 dzierżawach, ale pełna liczba poszkodowanych pozostaje nieznana.
ConnectWise nie ma obecnie wskaźników wskazujących, że przechowywane archiwa kopii zapasowych zostały naruszone.
Zakres ewentualnej kradzieży danych oraz sposób uzyskania poświadczeń dostawcy nie zostały ustalone.
Wykorzystano zaufaną aplikację
Cloud Backup korzysta z uprawnień nadawanych przez Microsoft Entra ID, katalog tożsamości używany do zarządzania dostępem do usług Microsoft. Oprogramowanie jest reprezentowane w dzierżawie klienta przez tożsamość aplikacyjną, określaną także jako service principal. Taki obiekt może uzyskiwać dostęp do zasobów zgodnie z zakresem uprawnień przyznanych mu wcześniej przez administratora. W tym przypadku problem polegał na tym, że atakujący nie musiał przejmować konta konkretnego pracownika. Uwierzytelnił się bezpośrednio jako aplikacja, korzystając z jej poświadczeń i zaufania, które zostało jej wcześniej przyznane w wielu organizacjach.
Badacze Todyl opisali automatyczne żądania logowania wykonywane przez skrypt. Ponieważ nie były to standardowe logowania użytkowników, mechanizmy takie jak uwierzytelnianie wieloskładnikowe, często określane skrótem MFA, nie zatrzymały tego rodzaju dostępu. W analizowanych przypadkach szerokie uprawnienia przypisane wcześniej aplikacji pozwalały technicznie na odczyt i zapis wiadomości oraz załączników, a także na dostęp do plików w OneDrive i SharePoint oraz rozmów w Microsoft Teams. Nie oznacza to jednak, że wszystkie te dane zostały pobrane. Na obecnym etapie nie ma pełnej informacji o zakresie wykorzystania dostępu.
Różny przebieg naruszeń w poszczególnych organizacjach
W dziewięciu analizowanych przez Todyl dzierżawach odnotowano aktywność logowania, ale nie znaleziono dowodów na tworzenie kont, zmianę haseł, dodawanie uprawnień ani utrzymanie dostępu za pośrednictwem aplikacji kopii zapasowej. Obserwacje Huntress były szersze. W niemal 50 monitorowanych dzierżawach tożsamości aplikacyjne powiązane z aplikacjami ConnectWise Cloud Management samodzielnie przypisały sobie role katalogowe, najczęściej rolę administratora Exchange.
W jednym z przypadków Huntress zaobserwował nadanie roli administratora globalnego oraz dodanie poświadczeń do narzędzia zarządzającego używanego przez dostawcę usług IT i do aplikacji Huntress. Microsoft również odnotował działania wskazujące na próbę utrzymania dostępu po uwierzytelnieniu aplikacji, rozpoznawanie środowiska za pomocą Microsoft Graph oraz próby dodania kolejnych poświadczeń. Te ustalenia pokazują, że incydent nie ograniczał się w każdym przypadku do samego odczytu danych. Skala i trwałość dostępu mogły zależeć od konfiguracji konkretnej dzierżawy oraz zakresu wcześniej przyznanych uprawnień.
Co powinni sprawdzić administratorzy
ConnectWise zaleca przejrzenie logów logowań tożsamości aplikacyjnych w Entra ID i wyszukanie aktywności powiązanej z Cloud Backup, w tym nietypowych adresów źródłowych. Microsoft wskazuje także na potrzebę sprawdzenia zmian poświadczeń aplikacji, przyznanych zgód OAuth oraz powiązanej aktywności Microsoft Graph. Huntress rekomenduje wyłączenie wskazanych aplikacji ConnectWise, kontrolę poświadczeń pod kątem nieautoryzowanych dodatków i przegląd pozostałych integracji Cloud Management. W starszych dzierżawach te aplikacje mogą być opisane jako SkyKick Cloud Manager.
Samo wyłączenie aplikacji nie musi jednak usunąć zmian dokonanych wcześniej w środowisku. Huntress zaleca sprawdzenie sekretów i certyfikatów wszystkich aplikacji pod kątem nieautoryzowanych dodatków wprowadzonych od 13 października oraz ich usunięcie, jeśli administrator potwierdzi, że nie należą do organizacji. Todyl zwraca uwagę, że wyłączenie aplikacji zatrzymuje wydawanie nowych tokenów, ale wcześniej wydane tokeny mogą pozostać ważne do czasu wygaśnięcia. Z kolei unieważnienie sesji użytkowników nie kończy dostępu realizowanego bezpośrednio przez aplikację.
Kopie zapasowe nie zostały dotąd potwierdzone jako naruszone
ConnectWise podał, że nie ma obecnie wskaźników świadczących o przejęciu danych przechowywanych w archiwach Cloud Backup. Firma zaznaczyła, że istniejące archiwa nie zostały objęte przerwą w działaniu i powinny być dostępne po przywróceniu usług. To rozróżnienie jest istotne, ponieważ naruszenie tożsamości aplikacyjnych mogło otworzyć drogę do zasobów w aktywnych dzierżawach Microsoft 365, ale nie stanowi jeszcze dowodu na modyfikację lub kradzież samych kopii zapasowych.
Na moment publikacji nie było wiadomo, ilu klientów łącznie zostało dotkniętych zdarzeniem, jakie dane mogły zostać pobrane ani w jaki sposób napastnik uzyskał poświadczenia dostawcy. Incydent pokazuje jednak ryzyko związane z integracjami działającymi w wielu organizacjach. Jeżeli zaufana usługa ma szeroki dostęp do środowisk klientów, przejęcie jej tożsamości aplikacyjnej może wywołać skutki wykraczające poza pojedynczą firmę. Dlatego po wyłączeniu usługi konieczne jest także sprawdzenie uprawnień, poświadczeń i aktywności w każdej objętej nią dzierżawie.
