В субботу ConnectWise сообщила, что отключила семь идентификаторов приложений ConnectWise в рамках расследования инцидента, в ходе которого неизвестные злоумышленники получили несанкционированный доступ к идентификаторам приложений и скомпрометировали клиенты Microsoft 365. Отключенные идентификаторы перечислены ниже.
Поставщик программного обеспечения для управления ИТ заявил, что предпринял эти действия 17 октября 2026 года в 07:00 UTC, добавив, что он также приостановил работу службы Cloud Backup, отозвав сертификаты, используемые для затронутых подключений приложений для всех пользователей.
«Отключение затронутых подключений предотвращает новую аутентификацию через эти подключения; оно не отменяет изменения, ранее внесенные в клиент», — говорится в сообщении. «Затронутые общие учетные данные Cloud Backup больше недействительны. Ранее выданные токены доступа могут оставаться в использовании до истечения срока их действия или аннулирования иным образом. Любые несанкционированные учетные данные, разрешения или другой доступ, установленные через отдельные идентификаторы, требуют дополнительного анализа и устранения».
ConnectWise также отметил, что запланированные резервные копии не выполняются, а доступ к затронутым архивам резервных копий и возможностям восстановления остается недоступным. Однако компания подчеркнула, что существующие архивы остаются зашифрованными, изолированными и сохраненными, и нет никаких доказательств того, что они были взломаны или доступны злоумышленникам.
Из соображений предосторожности компания временно отключила SaaS Security и Cloud Management, пока завершает расследование инцидента.
Кроме того, компания сообщила, что обнаружила проблему 14 октября 2026 года благодаря своему «продвинутому кибербезопасному мониторингу и бдительности», что побудило ее активировать внутренние и внешние действия по расследованию и реагированию на инциденты.
«С момента внедрения этих мер мы не наблюдали успешной угрожающей активности в контролируемых нами средах», — заявили в компании. «Этот вывод не устанавливает статус нижестоящих клиентских сред, которые по своей конструкции мы не можем напрямую наблюдать».
На данном этапе неясно, способствовала ли уязвимость продукта компрометации идентификаторов приложений. Точный механизм раскрытия учетных данных является предметом текущего анализа, добавили в ConnectWise.
Атака особенно опасна, поскольку она позволяет злоумышленнику злоупотреблять учетными данными приложения для доступа к средам Microsoft 365 клиентов без необходимости красть пароль каждого клиента по отдельности. Используя украденные учетные данные приложения для аутентификации от имени этого приложения, злоумышленник может запрашивать токены доступа у Microsoft Entra ID на основе существующих разрешений приложения.
В зависимости от разрешений, назначенных приложению, это может позволить злоумышленнику получить доступ к другим службам Microsoft, включая почтовые ящики, документы SharePoint, сообщения Teams и информацию каталога.
Поскольку приложения ConnectWise работают с обширными разрешениями для выполнения задач резервного копирования и управления, кража учетных данных позволяет злоумышленнику аутентифицироваться от имени самого приложения и расширить свой доступ, добавив его в роль глобального администратора, добавив секреты клиента к другим доверенным приложениям в клиенте, а также создав новые приложения и предоставив им разрешения.
Таким образом, секреты клиента предоставляют способ аутентификации от имени этого приложения и обеспечения постоянства, предоставляя альтернативный способ повторного доступа к скомпрометированной среде, даже если исходные скомпрометированные учетные данные будут позже отозваны.
«Мы последний раз наблюдали вредоносные входы с исходного адреса 15 октября в 08:45 UTC, при этом целенаправленная ручная активность продолжалась примерно до 14:20 UTC того же дня», — сообщил The Hacker News Джон Семон, главный аналитик операций по безопасности в Huntress.
«ConnectWise заявила, что доступ к Cloud Backup отключен, и если это так, то активность через эту службу должна была прекратиться. Однако, если злоумышленнику удалось добавить учетные данные к приложениям в клиентах Microsoft, эти учетные данные позволили бы им сохранить доступ и действовать от имени приложения».
Huntress заявила, что не выявила новой вредоносной активности с 15 октября, но нет никаких доказательств того, что остановка была результатом публичного раскрытия.
«Мы уверены, что злоумышленник также нацелился на приложения ConnectWise Cloud Management для Exchange Online, Microsoft Teams и SharePoint, и мы подтвердили злоупотребление приложением Teams в одном клиенте», — сказал Семон. «Эти приложения, по-видимому, не были отключены ConnectWise, поэтому дополнительная активность может исходить от них, и мы активно расследуем».
По состоянию на поздний вечер субботы Huntress сообщила, что выявила «вторую, целенаправленную волну попыток» с IP-адреса «144.172.64[.]128» 15 октября. Эти усилия, которые были направлены на узкий круг из 16 клиентов, оказались безуспешными. Клиенты относятся к секторам политики, национальной безопасности, торговли и критически важных минералов.
«Для нового набора целей первый проход был нацелен на токены Graph из приложения SkyKick и произошел 15 октября между 09:25:04 и 12:35:50 UTC», — говорится в сообщении Huntress. «Второй проход затронул тех же клиентов в тот же день, между 13:54:39 и 14:20:24 UTC. Этот проход выглядел как ручной и был нацелен на Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra и API управления Office 365».
В общей сложности поставщик управляемых услуг безопасности выявил почти 1000 клиентов Entra с активностью входа с IP-адреса, связанного с несанкционированной активностью с рассматриваемого IP-адреса, из которых 300 были успешными. Несмотря на успешный вход, отсутствие субъекта-службы в некоторых клиентах, как сообщается, помешало злоумышленнику получить доступ к этим клиентам.
Партнерам рекомендуется предпринять следующие действия:
«Несколько элементов управления Entra ограничивают ущерб в случае кражи учетных данных приложения», — заявила Huntress. «Политики управления приложениями могут ограничивать или блокировать секреты клиента при регистрации приложений и устанавливать срок действия учетных данных. Ограничение круга лиц, занимающих должности администратора приложений и администратора облачных приложений, сокращает количество тех, кто может добавлять учетные данные к приложениям».
«Conditional Access для удостоверений рабочей нагрузки, который требует дополнительного лицензирования, может ограничивать, откуда приложение может входить в систему, а Microsoft Entra ID Protection может помечать рискованные субъекты-службы. Ни одно из этих средств не заменяет проверку учетных данных, но они делают внедренный секрет труднее использовать или легче обнаружить».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
