Kompromitovana ConnectWise akreditiva pogodila 173 Microsoft 365 zakupca
Huntress je potvrdio neovlašćene prijave u 173 partnerska i korisnička Microsoft 365 zakupca nakon kompromitovanja akreditive aplikacije ConnectWise Cloud Backup, ranije poznate kao SkyKick. Napadači su 15. oktobra 2026. između 06:13 i 08:34 UTC sa adrese 144.172.64.128 pribavljali Microsoft Graph tokene za zakupce u kojima je aplikacija dobila saglasnost.
Široka ovlašćenja pretvaraju jednu akreditivu u višezakupnički rizik
ConnectWise Cloud Backup je servis za rezervne kopije i oporavak koji MSP kompanijama omogućava zaštitu podataka u servisima Microsoft 365 i Google Workspace. Da bi obavljao svoju funkciju, u Microsoft 365 okruženju može imati širok pristup poštanskim sandučićima, OneDriveu, SharePointu, Teamsu i podacima direktorijuma.
Huntress navodi da je akter koristio sopstvene alate za autentifikaciju prema aplikaciji, na način sličan radu samog servisa za bekap. Tako stečeni tokeni nasleđuju već odobrene dozvole aplikacije, pa mogu omogućiti čitanje pošte, datoteka i podataka direktorijuma u granicama ovlašćenja dodeljenih u konkretnom zakupcu.
Redosled prijava, sortiran po GUID identifikatorima i sa razmakom od nekoliko sekundi, ukazuje na automatizovan rad sa listom ciljeva. Huntress je povezao istu IP adresu i sa pokušajima password-spraying napada na četiri zakupa advokatskih kancelarija 13. i 14. oktobra, ali u svojoj telemetriji nije video uspešne korisničke prijave.
Rizik se može proširiti na druge privilegovane aplikacije
U najmanje jednom partnerskom zakupcu istraživači su pronašli zasebnu ConnectWise aplikaciju koja je sebi dodelila ulogu Global Administrator, a zatim dodala akreditive drugim pouzdanim aplikacijama. ConnectWise Cloud Management app for Microsoft Teams, sa ID-jem 24205314-2b89-4e07-a2a4-579e898a5640, potom je Python skriptom dodao nove klijentske tajne MSP aplikaciji za upravljanje i aplikaciji Huntress Security Platform.
Takav potez je značajan zato što povereni alati za MSP često imaju saglasnost i u zakupcima njihovih klijenata. Dodatna akreditiva na aplikaciji za upravljanje ili bezbednost može njenom posedniku preneti dozvole koje taj alat već ima, čime se rizik širi izvan početnog naloga dobavljača.
Šta treba proveriti u Microsoft Entra okruženju
ConnectWise je do daljeg zatvorio pristup aplikaciji Cloud Backup i saopštio da nije pronašao dokaze o kompromitovanju partnerskih podataka rezervnih kopija. Todyl upozorava da opoziv korisničkih sesija ne prekida ovaj pristup: onemogućavanje aplikacije sprečava izdavanje novih tokena, dok ranije izdati tokeni mogu ostati važeći do 90 minuta.
Administratori treba da u Microsoft Entra Admin Center otvore Monitoring, zatim Sign-in logs i karticu Service principal sign-ins, jer podrazumevana kartica User sign-ins ne prikazuje potrebne zapise. Potrebno je filtrirati Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae i proveriti prijave van očekivanih Microsoft i Azure opsega, naročito adresu 144.172.64.128.
Dok ConnectWise ne potvrdi resetovanje svih akreditiva, preporuka je da se aplikacija onemogući, uključe Microsoft Graph dnevnici aktivnosti, provere nove akreditive nastale od 13. oktobra i pregledaju Entra revizijski dnevnici zbog ConnectWise ili SkyKick aplikacija koje su menjale uloge direktorijuma. Za poslovanje je prioritet ograničiti pristup aplikacije, sačuvati relevantne zapise i utvrditi da li su privilegovani alati dobili nove tajne ili dozvole.