ConnectWise Cloud Backup nalog zloupotrebljen za pristup 173 Microsoft 365 tenanta

Huntress je objavio upozorenje o aktivnoj kampanji u kojoj nepoznati napadači koriste ukradene podatke za prijavu aplikacije ConnectWise Cloud Backup, ranije poznate kao SkyKick. Ta aplikacija čuva rezervne kopije podataka iz Microsoft 365 i Google Workspace i ima široka ovlašćenja nad poštom, OneDrive-om, SharePoint-om, Teams-om i direktorijumom u svakom okruženju u kom je instalirana.

Prema navodima kompanije, potvrđene neovlašćene prijave zabeležene su u 173 partnerska i korisnička okruženja. Napadač je 15. oktobra između 06:13 i 08:34 UTC sa adrese 144.172.64[.]128 dobavljao Microsoft Graph tokene i prolazio kroz okruženja po redosledu GUID-ova, što ukazuje na skriptu. Ista adresa je 13. i 14. oktobra pokušavala masovno pogađanje lozinki na četiri advokatske firme, ali uspešne prijave korisnika nisu zabeležene.

U najmanje jednom partnerskom okruženju, Huntress je otkrio da je aplikacija ConnectWise Cloud Management za Microsoft Teams sama sebi dodelila ulogu globalnog administratora i dodala nove podatke za prijavu drugim poverljivim aplikacijama. Time se rizik proširuje i van naloga proizvođača. ConnectWise je do daljeg zatvorio pristup Cloud Backup aplikaciji i naveo da nema dokaza da su rezervne kopije ugrožene.

Šta uraditi - Isključiti aplikaciju ConnectWise Cloud Backup u svim Microsoft 365 okruženjima dok ConnectWise ne potvrdi da su svi podaci za prijavu poništeni. - U Microsoft Entra Admin Center otvoriti prijave servisnog principala i filtrirati po ID-ju aplikacije 506e08f9-6e9a-4da4-942b-a099a03644ae. - Uključiti evidenciju aktivnosti Microsoft Graph i pregledati sve novododate podatke za prijavu od 13. oktobra. - Proveriti evidenciju nadzora u Entra za ConnectWise ili SkyKick aplikacije koje su sebe dodale u administratorsku ulogu.