ConnectWise: credențială compromisă deschide 162 de tenanți M365

ConnectWise a suspendat Cloud Backup (fost SkyKick Cloud Backup), serviciul cu care mulți MSP salvează e-mailul, OneDrive, SharePoint și Teams ale clienților lor, după ce a identificat un acces neautorizat la identitățile de aplicație ale serviciului. O credențială a aplicației multi-tenant a fost folosită pentru autentificarea în tenanții Microsoft 365 ai clienților, cu permisiunile deja acordate backupului. Microsoft a descris incidentul drept un atac activ asupra lanțului de aprovizionare îndreptat împotriva aplicației OAuth Cloud Backup.

Ce s-a întâmplat

Pe 17 octombrie ConnectWise a dezactivat șapte identități de aplicație, a revocat certificatele conexiunilor și a invalidat credențialele partajate ale Cloud Backup. Pe 18 octombrie a scos offline, din precauție, și SaaS Security și Cloud Management, integrate cu backupul. La 19 octombrie cele trei servicii erau încă suspendate, fără o dată de restabilire: backupurile programate nu rulează, iar arhivele nu pot fi consultate și nici datele restaurate. Potrivit companiei, arhivele existente rămân criptate și izolate, fără semne de acces.

Nu s-a stabilit încă cum a fost expusă credențiala și nici dacă a contribuit o vulnerabilitate a produsului. ConnectWise nu se pronunță asupra actorului și precizează că nu are vizibilitate asupra mediilor clienților: nu poate spune dacă un anumit tenant a fost afectat.

De ce MFA nu a ajutat

Cloud Backup există în fiecare tenant client ca service principal, cu consimțământul administrativ de a citi și scrie e-mailuri, fișiere, conversații și date de director. Potrivit Huntress, credențiala era o client assertion păstrată în tenantul furnizorului: cine o deține se autentifică drept aplicația în toți tenanții care și-au dat consimțământul. Este un acces de aplicație, fără utilizator, dispozitiv sau cerere MFA. Microsoft consideră probabil abuzul unor permisiuni deja acordate, printre care Directory.ReadWrite.All.

Secvența observată

Huntress, Todyl și Microsoft, citate de toate publicațiile, leagă activitatea de adresa 144.172.64[.]128, a unui furnizor de hosting:

• 13–14 octombrie: password spraying împotriva a patru tenanți ai unor case de avocatură și încercări de autentificare prin script (user agent curl/7.88.1), fără autentificări reușite ale utilizatorilor.
• 15 octombrie, 06:13–08:34 UTC: identitatea Cloud Backup obține tokenuri Microsoft Graph în tenanți, în ordinea crescătoare a identificatorului și la câteva secunde distanță: un script cu o listă de ținte. Huntress a confirmat accese neautorizate în 162 de tenanți la 16 octombrie; cifra de 173, atribuită Huntress în titlul The Hacker News, nu apare pe pagina Huntress, potrivit ICT Security Magazine. Din aproape 1.000 de tenanți Entra cu activitate de la acea adresă, peste 300 de autentificări au reușit; acolo unde service principal-ul lipsea, accesul a eșuat.
• Aceeași zi, al doilea val: încercări țintite, aparent manuale, împotriva a 16 organizații din sectoarele politică, securitate națională, comerț și minerale critice, aproape toate fără produse ConnectWise. Au eșuat.

Cel mai grav este cazul unui singur tenant: cu aproximativ două ore și jumătate înaintea valului principal, aplicația ConnectWise Cloud Management - MS Teams și-a atribuit rolul de Global Administrator și, în circa cinci minute, un script Python a adăugat noi client secret, valabile până în 2028, la alte două aplicații: un instrument de administrare pentru MSP și aplicația Huntress. Activitatea venea din rețeaua internă Azure, nu de la adresa atacatorului, iar Huntress nu a legat-o cu certitudine de același operator. În circa 50 de tenanți, aplicațiile Cloud Management și-au atribuit roluri de director, mai ales Exchange Administrator, cu user agent-ul aplicațiilor furnizorului: pentru Huntress poate fi vorba de automatizări ConnectWise, pe care compania nu le-a confirmat. Microsoft semnalează recunoaștere prin Graph și încercări de a adăuga credențiale; Todyl, în nouă tenanți, a văzut doar autentificări, fără modificări în director.

Furtul de date nu este confirmat: în tenantul examinat în detaliu, Huntress nu a găsit accese înregistrate la e-mail sau la fișiere, dar unele citiri ale directorului prin Graph nu lasă urme în jurnalele de audit.

Indicatori și tehnici

• IP: 144.172.64[.]128, plus 144.172.64[.]99 și 144.172.64[.]60, adăugate în avizul ConnectWise pe 18–19 octombrie;
• user agent: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2, curl/7.88.1;
• Application ID: Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae; Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83; MS Teams 24205314-2b89-4e07-a2a4-579e898a5640; Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519; MS Graph 0de14c77-b9b0-4137-9360-34878a929827; Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e; SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb. În tenanții mai vechi, aplicațiile Cloud Management pot apărea ca „SkyKick Cloud Manager”.

Huntress clasifică persistența drept T1098.001 (Additional Cloud Credentials). În lectura noastră sunt relevante și T1199 (Trusted Relationship), T1078.004 (Cloud Accounts), T1098.003 (Additional Cloud Roles) și T1110.003 (Password Spraying).

Impactul pentru companiile europene și italiene

Multe IMM-uri nu știu ce platformă folosește MSP-ul lor, iar ConnectWise depinde de MSP-uri pentru verificările din tenanți. Dacă ai încredințat Microsoft 365 unui furnizor, întreabă-l dacă folosește, sau a folosit în trecut, Cloud Backup sau SkyKick: autentificările au reușit și în tenanți fără abonament activ. Serviciile TIC gestionate se numără printre sectoarele NIS2: pentru entitățile vizate, un acces la tenant prin intermediul unui furnizor trebuie evaluat și ca posibil incident de notificat, iar securitatea lanțului de aprovizionare este una dintre măsurile cerute. În plus, cât timp serviciul este oprit, tenanții rămân fără backupuri actualizate.

Ce să faci acum

1. Păstrează jurnalele de autentificare și de audit înainte de a interveni: cu Entra ID Free se păstrează șapte zile.
2. Dezactivează, fără să le ștergi, cele șapte aplicații din aplicațiile enterprise din Entra, căutându-le după Application ID. Nu le reactiva înainte de instrucțiunile ConnectWise.
3. Verifică autentificările service principal, nu pe cele ale utilizatorilor, filtrând după ID-ul Cloud Backup și căutând adresele indicate începând cu 13 octombrie.
4. Verifică credențialele tuturor aplicațiilor: secretele și certificatele adăugate din 13 octombrie pe care nu le-a creat nimeni trebuie eliminate. Dezactivarea aplicațiilor ConnectWise nu elimină cheile adăugate în alte aplicații.
5. Revizuiește rolurile și consimțămintele: roluri administrative atribuite aplicațiilor, consimțăminte OAuth, federări, modificări recente ale politicilor Conditional Access; în jurnalul de audit, evenimentele „Add member to role”, „Update application” și „Add service principal credentials”.
6. Verifică e-mailul: redirecționări, reguli de cutie poștală și de transport, delegări.
7. Ține cont de tokenurile deja emise: rămân valabile până la expirare, iar revocarea sesiunilor utilizatorilor nu oprește accesul aplicației.
8. Redu suprafața de atac: retrage consimțământul pentru aplicațiile terțe pe care nu le mai folosești și limitează cine are rolurile Application Administrator și Cloud Application Administrator, care pot adăuga credențiale.

Cum ajută ARXDOME

ARX Horizon îți permite să verifici adresele indicate în sursele de threat intelligence și le recunoaște în evenimentele pe care platforma le îmbogățește, cum ar fi conexiunile înregistrate de firewalluri. Verificarea tenantului Microsoft 365 descrisă rămâne de făcut în centrul de administrare Entra ID.

Ultima actualizare: 19 octombrie 2026