ConnectWise har stengt kundenes tilgang til Cloud Backup, tidligere kjent som SkyKick Cloud Backup, etter at hackere fikk tilgang til applikasjonsidentiteter i tjenesten. Angrepet rammet Microsoft 365-miljøer gjennom allerede tildelte tillatelser.

De første meldingene om den skadelige aktiviteten kom fredag. Administratorer observerte uautorisert tilgang til kundedata i Microsoft 365-leietakere og knyttet hendelsene til et mulig «SkyKick/CW»-brudd. Senere samme dag opplyste cybersikkerhetsselskapet Huntress at det hadde identifisert minst 162 kompromitterte leietakere i sitt miljø.

Microsoft bekreftet også hendelsen og opplyste at selskapet hadde registrert uautoriserte autentiseringsforsøk fra én IP-adresse 15. oktober. IP-adressen var 144.172.64[.]128.

Misbrukte tillatelser i Microsoft 365

ConnectWise Cloud Backup tilbyr sikkerhetskopiering og gjenoppretting for tjenesteleverandører og IT-team. Tjenesten brukes blant annet til å beskytte e-post og filer i Microsoft 365 og Google Workspace.

For Microsoft 365 bygger tjenesten på tillatelser i Microsoft Entra ID. En applikasjonsidentitet, kalt en «service principal», representerer programvaren i kundens leietaker og gir den tilgang til ressurser i tråd med tillatelsene som er tildelt.

ConnectWise opplyser i et sikkerhetsvarsel at selskapet nylig identifiserte uautorisert tilgang til applikasjonsidentiteter i Cloud Backup-miljøet. Deretter stengte selskapet applikasjonstilgangen for partnere og kunder.

«We have no indicators to date that Cloud Backup partner backup data has been compromised. The existing cloud backup archive is not impacted by this service interruption and will be accessible once services are restored,»

ConnectWise har samtidig startet en undersøkelse og satt i gang tiltak for å begrense og rette opp hendelsen.

Automatiserte innlogginger omgått multifaktorinnlogging

Ifølge forskere fra Todyl autentiserte angriperen seg direkte mot Microsoft 365 som sikkerhetskopieringsapplikasjonen ved hjelp av applikasjonens hemmelighet. Dermed fikk angriperen tilgang til tillatelsene kundene allerede hadde gitt applikasjonen.

Innloggingene ble utført av et automatisert skript og innebar ikke en brukerinnlogging. Derfor hadde ikke sikkerhetstiltak som multifaktorinnlogging, MFA, effekt mot disse forespørslene.

«Because the application already held broad, previously granted permissions in each tenant, those sign-ins gave the attacker the technical ability to read and write mail and attachments, OneDrive and SharePoint files, and Teams chats,» skrev Todyl.

I ni analyserte leietakere fant Todyl-forskerne bare tegn til innlogging. De fant ikke bevis for at angriperen hadde opprettet kontoer, lagt til tillatelser, endret passord eller etablert varig tilgang gjennom sikkerhetskopieringsapplikasjonen.

Huntress observerte derimot at service principal-identiteter for ConnectWise-applikasjonene Cloud Management – Exchange Online, Microsoft Teams og Microsoft Graph hadde tildelt seg selv katalogroller i nær 50 leietakere selskapet overvåker. De fleste fikk rollen Exchange Administrator.

Administratorrolle og varig tilgang

I én leietaker observerte Huntress at angriperen etablerte varig tilgang. Operasjonen tok rundt fem minutter.

Under aktiviteten tildelte applikasjonen Cloud Management - MS Teams, med ID-en 24205314-2b89-4e07-a2a4-579e898a5640, seg selv rollen Global Administrator. Den la også til legitimasjon i et administrasjonsverktøy for en tjenesteleverandør og i Huntress’ egen applikasjon.

Microsoft observerte på sin side aktivitet som tydet på en bakdør etter vellykket autentisering av en service principal. Dette ble fulgt av rekognosering gjennom Microsoft Graph API og forsøk på å legge til ytterligere legitimasjon.

Alle de tre cybersikkerhetsselskapene knyttet aktiviteten til den samme IP-adressen, 144.172.64[.]128. Microsoft Threat Intelligence beskrev hendelsen som et aktivt leverandørkjedeangrep og vurderte at angriperen trolig misbrukte eksisterende tillatelser, blant annet Directory.ReadWrite.All.

Applikasjons-ID og spor etter skript

Huntress identifiserte den legitime Cloud Backup-applikasjonen som ble brukt i angrepene. Applikasjons-ID-en er 506e08f9-6e9a-4da4-942b-a099a03644ae.

Undersøkelsen knyttet også IP-adressen til skriptbaserte innloggingsforsøk 13. og 14. oktober. Disse brukte brukeragenten curl/7.88.1. Basert på tilgjengelige bevis er minst tre brukeragenter knyttet til den skadelige aktiviteten: python-urllib/3.12, python-requests/2.31 og python-requests/2.34.2.

En bruker på Reddit opplyste at vedkommende 15. oktober mottok et varsel fra Microsoft Privileged Identity Management, PIM. Varslet gjaldt at en SkyKick-service principal hadde tildelt seg selv rollen Exchange Administrator, selv om applikasjonen ikke hadde vært brukt på flere år. Flere av ID-ene som er rapportert for den skadelige SkyKick-aktiviteten, samsvarer med ID-er identifisert av Huntress, Microsoft og Todyl.

Ber administratorer undersøke egne miljøer

ConnectWise anbefaler at administratorer undersøker service principal-innlogginger i Entra, filtrerer på Cloud Backup-applikasjonens ID og ser etter uventede kildeadresser. Microsoft anbefaler også å kontrollere endringer i applikasjonslegitimasjon, OAuth-tildelinger og tilknyttet aktivitet i Graph.

Huntress anbefaler at administratorer deaktiverer de berørte ConnectWise-applikasjonene, kontrollerer om applikasjoner har fått lagt til uautorisert legitimasjon, og undersøker andre Cloud Management-integrasjoner. I eldre leietakere kan Cloud Management-applikasjonene være oppført under navnet «SkyKick Cloud Manager».

ConnectWise har oppgitt en utvidet liste over applikasjons-ID-er administratorer bør se etter, men listen er ikke gjengitt i materialet.

Å stenge leverandørens tjeneste fjerner ikke legitimasjon som allerede kan være lagt inn i kundens leietaker. Huntress anbefaler derfor at administratorer går gjennom hemmeligheter og sertifikater i alle applikasjoner, ser etter uautoriserte tillegg siden 13. oktober og fjerner dem.

Todyl advarer om at deaktivering av en applikasjon hindrer nye token i å bli utstedt, men at eksisterende token kan forbli gyldige til de utløper. Å tilbakekalle brukersesjoner avslutter heller ikke applikasjonsbasert tilgang.

Uklart hvor mange som er rammet

ConnectWise varslet om tjenesteavbruddet klokken 05.01 UTC 17. oktober. Selskapet oppga ikke når tilkoblingen vil bli gjenopprettet.

ConnectWise har ikke rapportert tegn til at lagrede sikkerhetskopier er kompromittert. Selskapet sier at eksisterende arkiver vil være tilgjengelige når tjenestene er gjenopprettet.

Det er foreløpig uklart hvor mange virksomheter som er rammet, hvor mye data som eventuelt er stjålet, og hvordan angriperen fikk tak i leverandørens legitimasjon.