Исследователи в области кибербезопасности бьют тревогу в связи с активной кампанией, в ходе которой неизвестные злоумышленники используют скомпрометированные учетные данные Microsoft 365 (M365), принадлежащие ConnectWise Cloud Backup (ранее SkyKick), для получения несанкционированного доступа к средам M365 клиентов.
ConnectWise Cloud Backup — это облачный сервис резервного копирования и восстановления, разработанный для управляемых поставщиков услуг (MSP), чтобы обеспечить безопасность данных своих клиентов в Microsoft 365 или Google Workspace. Для выполнения своих задач приложение получает широкие права доступа к почтовым ящикам, OneDrive, SharePoint, Teams и данным каталогов во всех клиентах, на которых оно установлено.
Huntress сообщила, что зафиксировала подтвержденные случаи несанкционированных входов в 173 партнерских/клиентских средах с использованием скомпрометированных учетных данных поставщика. Инцидент затрагивает каждую организацию, в которой установлено приложение, и учетные данные работают против каждого клиента, для которого приложение было авторизовано.
«Учетные данные приложения находятся в руках врагов», — заявил исследователь безопасности Джонатан Семон. «Они использовались для получения токенов Microsoft Graph в клиентских средах с IP-адреса 144.172.64[.]128 15 октября между 06:13 и 08:34 UTC. Злоумышленник перемещался по клиентам в отсортированном порядке GUID, с интервалом в несколько секунд, что указывает на скрипт, работающий по целевому списку».
В ходе наблюдений за действиями злоумышленников было замечено, что они аутентифицируются в приложении, используя собственные инструменты, аналогично работе службы резервного копирования, и получают токены с существующими разрешениями приложения. Учитывая, что приложение имеет обширные разрешения на доступ к данным клиентов, злоумышленник, обладающий токенами, может читать почтовые ящики, файлы и данные каталогов, доступные службе резервного копирования.
Huntress сообщила, что тот же IP-адрес участвовал в атаках методом подбора паролей (password spraying) против четырех юридических фирм 13 и 14 октября 2026 года, хотя и отметила, что не обнаружила успешных входов пользователей в своей телеметрии.
По словам компании, занимающейся кибербезопасностью, по крайней мере в одном партнерском клиенте было обнаружено отдельное приложение ConnectWise, которое присвоило себе права глобального администратора и добавило учетные данные к другим доверенным приложениям в этой среде, тем самым открыв путь к другим привилегированным приложениям в клиентских средах. Это фактически расширяет риск за пределы учетной записи поставщика.
«Приложение ConnectWise Cloud Management для Microsoft Teams (идентификатор приложения 24205314-2b89-4e07-a2a4-579e898a5640) добавило себя в роль глобального администратора, а затем запустило скрипт Python (User-Agent Python-urllib/3.12), который изменил два других приложения в клиенте: приложение для управления MSP и собственное приложение Huntress (Huntress Security Platform), добавив к обоим новые секреты клиента», — пояснил Семон.
«Два приложения, получившие новые секреты, являются доверенными, привилегированными инструментами. Добавление учетных данных к приложению управления MSP может расширить доступ за пределы одного клиента, поскольку эти приложения часто авторизуются в клиентах клиентов MSP. Учетные данные в приложении инструмента безопасности дают владельцу все, что может делать этот инструмент».
Todyl в аналогичном анализе сообщил, что обнаружил несанкционированную сторону, аутентифицирующуюся в Microsoft Graph как приложение ConnectWise Cloud Backup.
«Доступ унаследовал существующее согласие приложения, которое разрешает чтение/запись почты и вложений (полный доступ к почтовому ящику через Exchange Web Services), файлы OneDrive и SharePoint, а также чаты Teams, включая возможность восстановления данных», — сказал Николас Кокен, руководитель отдела инженерии обнаружения Todyl.
«Отзыв пользовательских сеансов не прекращает этот доступ. Отключение приложения в клиенте останавливает выдачу новых токенов, хотя уже выданные токены остаются действительными до 90 минут. Любой клиент, в котором приложение все еще включено, остается под угрозой до тех пор, пока ConnectWise не сменит учетные данные».
В ответ на инцидент ConnectWise приняла меры по закрытию доступа к приложению Cloud Backup до дальнейшего уведомления. Компания заявила, что не обнаружила никаких доказательств компрометации данных резервного копирования партнеров Cloud Backup. Она также предоставила следующие индикаторы компрометации:
«Службе резервного копирования требуется широкий доступ для выполнения своей работы, и злоумышленник, использующий ее учетные данные, унаследует этот уровень доступа для каждого клиента, где установлено приложение», — объяснила Huntress.
«В зависимости от разрешений в клиенте это может включать почтовые ящики, файлы OneDrive и SharePoint, данные Teams и информацию каталогов, большая часть которой принадлежит вашим клиентам. Часть этого доступа, например, чтение каталогов через Microsoft Graph, не оставляет следов аудита, поэтому мы рекомендуем действовать сейчас, а не ждать доказательств доступа. Полный потенциальный эффект зависит от разрешений, действующих в каждом клиенте».
Пользователям рекомендуется отключить приложение до тех пор, пока ConnectWise не подтвердит сброс всех учетных данных, включить журналы активности Microsoft Graph, провести аудит на предмет любых новых учетных данных, добавленных с 13 октября 2026 года, и проверить журналы аудита Entra на предмет добавления приложений ConnectWise или SkyKick в роли каталога.
Это развитие событий происходит на фоне того, как Mandiant и Google Threat Intelligence Group от Google, а также ManageEngine Threat Analysis Lab подробно описали «эфемерное вмешательство в цепочку поставок» в инфраструктуру обновлений AOMEI Backupper, программного обеспечения для резервного копирования данных, клонирования дисков и аварийного восстановления, с целью обхода традиционных средств защиты и доставки вредоносного ПО, такого как CROSSROAD и SHINYROAD.
«Злоумышленник проводил повторяющиеся, кратковременные вмешательства в конфигурацию серверов AOMEI», — заявили в Google. «Каждое окно вмешательства оставалось активным всего пять-десять минут, после чего возвращалось к аутентичным версиям. В течение коротких окон вмешательства злоумышленник изменял файл настроек обновления на сервере обновлений, чтобы перенаправить программное обеспечение на загрузку вредоносного ZIP-архива с серверов, контролируемых злоумышленником, вместо легитимных обновлений».
ZIP-архив содержит CROSSROAD, первоначальный загрузчик, ответственный за проверку среды и подготовку последующих полезных нагрузок. Он также разработан для установки постоянства на основе запланированных задач для развертывания SHINYROAD, модульной платформы бэкдора для скрытого управления и контроля, посредством подгрузки DLL.
Кампания компрометации цепочки поставок программного обеспечения, которая проходила с апреля по июль 2026 года, была приписана ранее не документированному кластеру угроз под кодовым названием UNC7017. Эта активность является первым случаем, когда подобный компрометация происходила в коротких интервалах вместо поддержания постоянного, статического изменения на серверах.
Предполагается, что кампания затронула организации из широкого спектра секторов, включая ИТ-услуги, телекоммуникации, высшее образование и связанные с ними организации в Австралии, Бразилии, Индии, Пакистане, Португалии, Сингапуре, Южной Африке, Испании, Швейцарии, Турции и США.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
