ConnectWise отключила ключевые облачные сервисы и расследует несанкционированный доступ к средам Microsoft 365 клиентов после того, как учетные данные, связанные с ее платформой Cloud Backup, были скомпрометированы и использованы для аутентификации в клиентских арендаторах, что побудило Huntress выявить подозрительные входы в 162 организации.
Активность включала получение приложением Cloud Backup токенов доступа Microsoft Graph с использованием учетных данных, связанных с собственным арендатором ConnectWise. Компания по безопасности Huntress также подтвердила несанкционированные входы в 162 арендатора по состоянию на 19:00 UTC 16 октября.
Huntress сообщила, что приложение аутентифицировалось с IP-адреса 144.172.64[.]128 15 октября с 06:13 до 08:34 UTC. Адрес принадлежал хостинг-провайдеру, а не частному IP-пространству Azure, из которого обычно осуществлялась связь приложения. События аутентификации были зафиксированы в журналах входа Microsoft.
ConnectWise признала факт активности и 17 октября отключила семь идентификаторов приложений. Также были приостановлены Cloud Backup, SaaS Security и Cloud Management. Microsoft не предоставила немедленного комментария по запросу.
Компания обновила свою консультацию 19 октября и заявила, что не наблюдала успешной активности угроз в контролируемых ею средах с момента внедрения мер сдерживания, но еще не установила сроки восстановления сервисов.
«Существующие резервные архивы остаются зашифрованными и изолированными, и у нас нет оснований полагать, что эти архивы были скомпрометированы», — отметила ConnectWise. Обновление консультации от 19 октября включало два дополнительных IP-адреса, 144.172.64[.]99 и 144.172.64[.]60, выявленных в ходе последующего мониторинга безопасности.
Учетные данные интеграции использовались для повышения привилегий
ConnectWise Cloud Backup требует широких разрешений для резервного копирования и восстановления данных клиентов в службах Microsoft 365, включая Exchange Online, OneDrive, SharePoint и Teams. Huntress сообщила, что скомпрометированные учетные данные позволили приложению получать токены Microsoft Graph в клиентских арендаторах без необходимости входа отдельного пользователя.
Такая аутентификация на основе приложения не включает пароль пользователя и не запускает запрос многофакторной аутентификации (MFA), связанный с обычным входом. Учетные данные хранятся в собственной среде поставщика, что означает, что клиенты не могли сгенерировать их в результате действий в своих индивидуальных арендаторах.
Huntress также выявила активность, связанную со вторым приложением ConnectWise, Cloud Management для Microsoft Teams, в одном партнерском арендаторе. По данным компании по безопасности, приложение назначило себе роль глобального администратора и добавило учетные данные к двум другим приложениям, включая приложение Huntress, специфичное для этого партнера.
Этот процесс занял примерно пять минут, сообщила Huntress, добавив, что не установила, проводились ли отдельные этапы активности одним и тем же оператором.
Приостановка услуг дает время, но проверки на уровне арендатора остаются необходимыми
ConnectWise отключила семь идентификаторов приложений и отозвала сертификаты, связанные с затронутыми подключениями приложений. Компания заявила, что эти действия предотвращают новую аутентификацию через отключенные соединения, но не отменяют автоматически изменения, уже внесенные в клиентские арендаторы.
Ранее выданные токены доступа также могут оставаться действительными до истечения срока их действия или аннулирования иным образом, добавили там.
Сбой в обслуживании выходит за рамки резервного копирования. Поскольку Cloud Backup приостановлено, запланированные резервные копии, доступ к затронутым архивам и возможности восстановления остаются недоступными. Мониторинг и оповещение SaaS Security, а также функции управления пользователями и лицензиями Cloud Management также были отключены на время проведения работ по устранению неполадок.
Huntress сообщила, что ее расследование не подтвердило кражу данных. В одном арендаторе, журналы аудита которого она детально изучила, фирма не обнаружила записей о доступе к почте или файлам, но предупредила, что это не доказывает отсутствия кражи данных. Некоторые операции чтения каталога Microsoft Graph не оставляют следов в журнале аудита, что ограничивает возможности следователей при установлении фактов на основе имеющихся записей, отметили там.
Обе компании призвали партнеров и администраторов клиентов проверить свои среды Microsoft 365. Руководство ConnectWise призывает проверять входы в приложения, учетные данные, роли каталога, предоставленные разрешения, изменения политик и возможные переадресации почтовых ящиков или другие механизмы сохранения.
Партнерам ConnectWise также было рекомендовано держать затронутые приложения отключенными до получения официальных инструкций по восстановлению. По состоянию на 19 октября расследование и работы по восстановлению сервисов продолжались.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
