ConnectWise спря достъпа на клиентите до своята услуга Cloud Backup (по-рано SkyKick Cloud Backup), след като хакери получиха достъп до идентификационни данни на приложения и компрометираха Microsoft 365 тенанти.

Докладите за злонамерената дейност започнаха да се появяват в петък, като администраторите наблюдаваха неоторизиран достъп до клиентски данни в Microsoft 365 тенанти поради потенциален „пробив в SkyKick/CW“.

По-късно същия ден платформата за управлявана киберсигурност и откриване на заплахи Huntress потвърди опасенията, заявявайки, че е идентифицирала поне 162 компрометирани тенанта в своята среда.

В публикация от днес Microsoft също потвърди злонамерена дейност, засягаща услугата Cloud Backup на ConnectWise, заявявайки, че е идентифицирала неоторизирани опити за автентикация от IP адрес на 15 октомври.

Решенията за архивиране в облака на ConnectWise предоставят услуги за бекъп и възстановяване, които помагат на доставчиците на управлявани услуги (MSP) и ИТ екипите да защитават и възстановяват клиентски данни, като имейли и файлове, в облачни среди, включително Microsoft 365 и Google Workspace.

За бекъпи на Microsoft 365 услугата разчита на разрешения, предоставени чрез Microsoft Entra ID. Идентичност на приложение, известна като „service principal“, представлява софтуера в тенанта на клиента и му позволява достъп до ресурси съгласно предоставените разрешения.

Пробиви в Microsoft 365 тенанти

В бюлетин за сигурност ConnectWise съобщи, че „наскоро е идентифицирала неоторизиран достъп до идентификационни данни на приложения в средата на ConnectWise Cloud Backup“ и е спряла достъпа на приложенията за своите партньори и клиенти.

„Към днешна дата нямаме индикатори, че архивните данни на партньорите на Cloud Backup са компрометирани. Съществуващият архив за бекъп в облака не е засегнат от това прекъсване на услугата и ще бъде достъпен след възстановяване на услугите“, заявяват от ConnectWise.

Компанията обаче е започнала разследване и извършва действия за отстраняване на последствията.

Според доклади от Microsoft, Huntress и администратори злонамерената дейност е започнала най-малко на 15 октомври от един-единствен IP адрес: 144.172.64[.]128.

Потребител в Reddit сподели, че на 15 октомври е получил известие от услугата Microsoft Privileged Identity Management (PIM), предупреждаващо, че service principal на SkyKick си присвоява ролята на Exchange Administrator, въпреки че приложението не е било използвано от години.

Въпреки това някои от докладваните идентификатори на компрометирания SkyKick съвпадат с предоставените от Huntress, Microsoft и Todyl — платформа за киберсигурност, предназначена предимно за MSP и ИТ специалисти.

Според изследователи от Todyl атакуващият се е автентикирал директно в Microsoft 365 като приложението за бекъп, използвайки неговия таен ключ (secret), получавайки разрешенията, които клиентите вече са му били предоставили.

Заявките за влизане са били извършвани от автоматизиран скрипт и тъй като не са включвали вход на потребител, защити като многофакторна автентикация (MFA) са били неефективни.

„Тъй като приложението вече разполагаше с широки, предварително предоставени разрешения във всеки тенант, тези влизания дадоха на атакуващия техническата възможност да чете и записва поща и прикачени файлове, файлове в OneDrive и SharePoint и чатове в Teams“, заявяват от Todyl.

В анализираните прониквания в девет тенанта изследователите от Todyl са установили само активност по влизане и не са открили доказателства, че злонамереният субект „е създавал акаунти, добавял разрешения, сменял пароли или установявал трайно присъствие (persistence) в който и да е тенант чрез приложението за бекъп“.

Опити за разузнаване и осигуряване на трайно присъствие

Huntress обаче установи в близо 50 тенанта, които наблюдава, че service principals за „приложенията за управление на облака на ConnectWise (Exchange Online, Microsoft Teams и Microsoft Graph) са си присвоили роли в директорията, главно Exchange Administrator“.

В един тенант изследователите на Huntress също така са наблюдавали, че атакуващият е установил трайно присъствие, като операцията е отнела около пет минути.

По време на дейността Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) си е предоставило роля на Global Administrator и е добавило идентификационни данни към инструмент за управление на MSP и към собственото приложение на Huntress.

Microsoft също така наблюдава дейност по установяване на трайно присъствие чрез задна врата (backdoor) след успешна автентикация на service principal, последвана от „разузнаване чрез Microsoft Graph API и опити за добавяне на допълнителни идентификационни данни“.

Трябва да се отбележи, че и трите компании за киберсигурност са проследили злонамерената дейност до един и същ IP адрес 144.172.64[.]128.

Microsoft Threat Intelligence определи инцидента като активна атака по веригата за доставки, оценявайки, че атакуващият вероятно е злоупотребил със съществуващи разрешения, включително Directory.ReadWrite.All.

Индикатори и проверки на тенантите

Huntress идентифицира легитимния идентификатор на приложението Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae, използван в атаките. Разследването ѝ също така свърза IP адреса на атакуващия със скриптирани опити за влизане на 13 и 14 октомври с потребителски агент (user agent) curl/7.88.1.

Въз основа на настоящите доказателства има най-малко три потребителски агента, свързани със злонамерената дейност на услугата Cloud Backup: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2.

ConnectWise препоръчва на администраторите да проверят влизанията на service principal в Entra, да филтрират по идентификатора на приложението Cloud Backup и да прегледат неочакваните адреси на източника.

Microsoft също така препоръчва преглед на промените в идентификационните данни на приложенията, предоставените OAuth права и свързаната дейност в Graph.

Huntress съветва администраторите да деактивират замесените приложения на ConnectWise, както и да проверят идентификационните данни на приложенията за неоторизирани добавяния и да прегледат други интеграции на Cloud Management.

Компанията отбелязва, че по-старите тенанти може да показват приложенията за Cloud Management под името ‘SkyKick Cloud Manager’.

Компанията предоставя разширен списък с идентификатори на приложения, които администраторите да потърсят:

  • ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
  • ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
  • ConnectWise Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
  • ConnectWise Cloud Management - Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
  • ConnectWise Cloud Management - MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
  • ConnectWise Cloud Management - Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
  • ConnectWise Cloud Management - SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)

Спирането на услугата от страна на доставчика не премахва идентификационните данни, които вече са внедрени в клиентските тенанти. От Huntress посочват, че администраторите трябва да прегледат тайните ключове (secrets) и сертификатите във всички приложения за неоторизирани добавяния след 13 октомври и да премахнат тези записи.

Todyl предупреждава, че деактивирането на приложение спира издаването на нови токени, но съществуващите токени остават валидни до изтичането им, а прекратяването на потребителските сесии не прекратява достъпа, базиран на приложения.

ConnectWise обяви прекъсването на услугата за архивиране в 05:01 UTC на 17 октомври, но не предостави график за възстановяване на връзката.

Компанията не съобщи за доказателства, че съхраняваните резервни копия са били компрометирани, и заяви, че съществуващите архиви ще бъдат достъпни, когато услугите бъдат възстановени.

Към момента на публикуване броят на засегнатите жертви и степента на кражба на данни остават неясни, както и методът, използван от атакуващия за получаване на идентификационните данни на доставчика.

Актуализация [18 октомври]: Услугата ConnectWise Cloud Backup остава недостъпна, докато компанията продължава разследването.

„Планираните архивни копия не се изпълняват, а достъпът до засегнатите архиви и възможностите за възстановяване остават недостъпни“, заяви ConnectWise в актуализация днес в 01:00 UTC.

Компанията заяви, че съществуващите архивни копия остават криптирани и изолирани, без индикации, че са били компрометирани.

SaaS Security и Cloud Management също са офлайн като предпазна мярка, което прави мониторинга и управлението на лицензи недостъпни.

ConnectWise подчерта, че това решение не трябва да се тълкува като доказателство, че средата на партньор или клиент е била компрометирана.

Вчера компанията деактивира седемте самоличности на приложения (application identities), което прекъсва удостоверяването през връзките.

„Засегнатите споделени идентификационни данни за Cloud Backup вече не са валидни. Предварително издадените токени за достъп може да останат използваеми до изтичането им или докато не бъдат анулирани по друг начин.“

Компанията потвърди, че всички „неоторизирани идентификационни данни, разрешения или друг достъп, установен чрез отделни самоличности, изискват допълнителен преглед и мерки за отстраняване“.

След като атакуващите разполагат с валидни идентификационни данни, само 37% от действията им биват блокирани

Общите резултати за превенция могат да скрият какво се случва след първоначалния достъп. След като атакуващите използват валидни идентификационни данни, превенцията рязко спада.

Докладът Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.