ConnectWise сбросила учётные данные после инцидента с Cloud Backup
ConnectWise сбросила учётные записи и заменила учётные данные приложений после инцидента, связанного с несанкционированным доступом к идентификаторам приложений Cloud Backup. Сервис Cloud Backup приостановлен, а интегрированные с ним SaaS Security и Cloud Management временно отключены в качестве меры предосторожности.
Какие меры приняла ConnectWise
Компания начала развёртывание защитных мер 17 октября в 05:00 UTC, через три дня после обнаружения инцидента. ConnectWise отключила затронутые подключения приложений, усилила защиту административного доступа и привлекла независимых специалистов по реагированию и устранению последствий.
Партнёрам также опубликованы технические рекомендации для проверки возможной несанкционированной активности в собственных средах и средах управляемых заказчиков. ConnectWise продолжает проверять эффективность мер сдерживания.
В контролируемых компанией средах не выявлена успешная активность угроз. При этом ConnectWise отдельно подчёркивает: это наблюдение не отвечает на вопрос, были ли затронуты отдельные тенанты Microsoft 365 партнёров или клиентов. Компания не сообщает о влиянии на иные продукты и сервисы, кроме Cloud Backup и профилактически остановленных SaaS Security и Cloud Management.
Что обнаружили исследователи Huntress
Huntress проанализировала журналы входов приложений более чем в 10 000 тенантов, где были доступны логи ConnectWise. Активность входа приложений наблюдалась с адреса 144.172.64[.]128 и из внутренних диапазонов Microsoft. Другие перечисленные адреса из сети AS14956 RouterHosting не показали входов приложений, хотя с части из них фиксировались password spray и неудачные попытки пользовательского входа.
Исследователи наблюдали действия после компрометации ещё в одном тенанте по уже известной схеме. Приложение назначало себе роль Global Administrator, а затем добавляло новый секрет небольшому числу других приложений, чтобы сохранить доступ.
По оценке Huntress, доступ мог использоваться для чтения данных каталога через Microsoft Graph. Признаков манипуляций почтовыми ящиками или файлами, а также изменений пользователей и политик исследователи не нашли. В двух изученных тенантах набор приложений, которым добавлялись секреты, различался; общим признаком было лишь то, что они были зарегистрированы в затронутом тенанте.
Что проверить организациям
ConnectWise рекомендует до любых изменений сохранить относящиеся к инциденту свидетельства, подтвердить результаты проверки и оценить операционные последствия. Проверка не гарантирует отсутствия компрометации или полного удаления несанкционированного доступа.
Практический вывод для бизнеса: следует отдельно проверить назначения Global Administrator, новые секреты и входы сервисных приложений в Microsoft 365, а затронутые подключения не восстанавливать до официальных инструкций ConnectWise.