Ключ ConnectWise дал доступ к 173 тенантам Microsoft 365
Исследователи Huntress подтвердили несанкционированные входы в 173 партнёрских и клиентских тенанта Microsoft 365 через скомпрометированные учётные данные ConnectWise Cloud Backup, ранее известного как SkyKick. С IP-адреса 144.172.64.128 злоумышленники 15 октября получали токены Microsoft Graph и последовательно обращались к тенантам.
Доступ унаследовал права резервного сервиса
ConnectWise Cloud Backup — сервис резервного копирования и восстановления для управляемых поставщиков услуг. Чтобы выполнять свою задачу, приложение получает доступ к почтовым ящикам, OneDrive, SharePoint, Teams и данным каталога в каждом тенанте, где оно установлено.
По оценке Huntress, скомпрометированный ключ позволяет работать с уже выданными приложению разрешениями. Исследователь Джонатан Семон отметил, что обращения к тенантам шли в отсортированном порядке GUID, с интервалом в несколько секунд. Такой характер активности указывает на автоматизированный обход списка целей.
Todyl также зафиксировала аутентификацию постороннего лица в Microsoft Graph от имени ConnectWise Cloud Backup. Компания указывает, что доступ включал чтение и запись почты и вложений через Exchange Web Services, файлы OneDrive и SharePoint, чаты Teams, а также возможность восстанавливать данные.
Почему отзыва пользовательских сессий недостаточно
Отзыв пользовательских сессий не прекращает доступ, полученный через учётные данные приложения. Отключение приложения в конкретном тенанте предотвращает выдачу новых токенов, но ранее выданные могут оставаться действительными до 90 минут. Пока приложение активно, тенант остаётся под риском до ротации ключа ConnectWise.
В одном из партнёрских тенантов Huntress обнаружила отдельное приложение ConnectWise Cloud Management для Microsoft Teams, которое назначило себе роль Global Administrator. Затем оно с помощью Python-скрипта добавило новые клиентские секреты двум другим доверенным приложениям: средству управления MSP и Huntress Security Platform.
Такое изменение расширяет риск за пределы одного тенанта. Приложения для управления MSP нередко согласованы и в тенантах клиентов, а дополнительный секрет для привилегированного инструмента даёт его владельцу доступ в пределах разрешений этого инструмента.
Что рекомендуют проверить
ConnectWise временно закрыла доступ приложения Cloud Backup и сообщила, что не обнаружила свидетельств компрометации партнёрских резервных копий. Компания опубликовала идентификатор приложения 506e08f9-6e9a-4da4-942b-a099a03644ae для проверки событий входа.
Для поиска активности нужно открыть в Microsoft Entra Admin Center журналы входов сервисных субъектов, а не стандартную вкладку пользовательских входов, и отфильтровать записи по этому идентификатору. ConnectWise рекомендует обратить внимание на адреса вне ожидаемых диапазонов Microsoft и Azure; подозрительным назван 144.172.64.128.
Практический шаг для бизнеса — отключить приложение до подтверждения полной смены учётных данных ConnectWise, включить журналы активности Microsoft Graph и проверить новые секреты, добавленные после 13 октября. Также следует изучить журналы аудита Entra на предмет назначения ролей приложениями ConnectWise или SkyKick: при широких правах резервного сервиса ожидание доказательств доступа к данным может быть рискованнее немедленной проверки.