Хакеры взломали Microsoft 365 через бэкап ConnectWise
Злоумышленник входил в почту и файлы клиентов от имени самого приложения, поэтому двухфакторная защита не сработала.
Фото: BleepingComputer
Неизвестный атакующий получил доступ к облачным офисам Microsoft 365 у клиентов ConnectWise Cloud Backup — сервиса резервного копирования для IT-подрядчиков. Только компания Huntress насчитала не меньше 162 взломанных организаций. Microsoft назвала инцидент активной атакой на цепочку поставок, а ConnectWise 17 октября отключила сервис для всех клиентов.
Cloud Backup раньше назывался SkyKick Cloud Backup. Он сохраняет почту, файлы и другие данные из Microsoft 365 и Google Workspace. Им пользуются компании, которые обслуживают IT-инфраструктуру чужого бизнеса. Чтобы делать копии, приложение получает в облаке Microsoft широкие права.
Как прошла атака
Злоумышленник завладел учётными данными самих приложений ConnectWise и входил в чужие облака скриптами от их имени. Человек при этом не авторизовался, поэтому двухфакторная защита не сработала. Права приложения позволяли читать и менять почту, файлы в OneDrive и SharePoint и переписку в Teams.
Компания Todyl разобрала девять взломов и нашла в них только входы в систему, без новых аккаунтов и закреплений. Huntress увидела больше. Почти в 50 подконтрольных ей облаках служебные приложения ConnectWise сами выдали себе роль администратора Exchange. В одном случае приложение Cloud Management за пять минут получило права глобального администратора и добавило ключи к другим сервисам.
Microsoft фиксирует подозрительные входы минимум с 15 октября, Huntress — с 13 октября. Все три компании связали атаку с одним IP-адресом. Кто за ней стоит и как атакующий получил ключи поставщика, пока неизвестно. Масштаб кражи данных тоже не раскрыт.
Что говорят компании
ConnectWise сообщила, что обнаружила «несанкционированный доступ к учётным данным приложений», и закрыла им доступ. По словам компании, признаков кражи резервных копий партнёров пока нет, а старые архивы станут доступны после восстановления сервиса. Сроков восстановления ConnectWise не назвала.
Специалисты советуют отключить приложения ConnectWise в Microsoft Entra ID, проверить новые ключи и права с 13 октября и отозвать разрешения. В Todyl предупреждают: после отключения приложения уже выданные токены работают до истечения срока. Сброс пользовательских сессий доступ приложения не закрывает.
Microsoft 365 используют и казахстанские компании, многие из них отдают облако на обслуживание подрядчикам. О пострадавших в Казахстане пока не сообщалось. Атаки через доверенные каналы в октябре вообще заметны: на этой неделе исследователи рассказали, как шпионское ПО Candiru заражало жертв через обычную рекламу.
Источники: BleepingComputer — атака через ConnectWise Cloud Backup
