ConnectWise heeft de toegang tot zijn Cloud Backup-service (voorheen SkyKick Cloud Backup) voor klanten afgesloten nadat hackers applicatie-identiteiten hadden bemachtigd en Microsoft 365-tenants hadden gecompromitteerd.

Afgelopen vrijdag doken de eerste meldingen op van verdachte activiteiten, waarbij beheerders ongeautoriseerde toegang tot klantgegevens in Microsoft 365-tenants opmerkten vanwege een mogelijke “SkyKick/CW-inbreuk”.

Later die dag bevestigde Huntress, een platform voor cybersecurity en bedreigingsdetectie, de zorgen door te melden dat er ten minste 162 tenants in hun omgeving waren gecompromitteerd.

Vandaag bevestigde Microsoft ook ongeautoriseerde activiteiten met betrekking tot de Cloud Backup-service van ConnectWise. Er werden op 15 oktober ongeoorloofde authenticatiepogingen vanaf een IP-adres gedetecteerd.

De cloud-back-upoplossingen van ConnectWise bieden back-up- en herstelservices waarmee managed service providers (MSP’s) en IT-teams klantgegevens zoals e-mails en bestanden kunnen beschermen en herstellen in cloudomgevingen zoals Microsoft 365 en Google Workspace.

Voor back-ups van Microsoft 365 maakt de service gebruik van machtigingen verleend via Microsoft Entra ID. Een zogenaamde “service-principal” vertegenwoordigt de software in de tenant van een klant en maakt het mogelijk om toegang te krijgen tot bronnen volgens de verleende machtigingen.

Inbreuken op Microsoft 365-tenants

In een beveiligingsadvies meldt ConnectWise dat het “onlangs ongeautoriseerde toegang tot applicatie-identiteiten binnen de ConnectWise Cloud Backup-omgeving heeft geïdentificeerd” en de applicatietoegang voor zijn partners en klanten heeft afgesloten.

“Tot op heden hebben we geen aanwijzingen dat de back-upgegevens van Cloud Backup-partners zijn gecompromitteerd. Het bestaande cloudback-uparchief wordt niet beïnvloed door deze onderbreking en zal toegankelijk zijn zodra de services zijn hersteld,” zegt ConnectWise.

Toch heeft het bedrijf een onderzoek gestart en zijn er herstelmaatregelen genomen.

Op basis van rapporten van Microsoft, Huntress en beheerders lijken de kwaadaardige activiteiten met ingang van 15 oktober vanaf een enkel IP-adres te zijn gestart: 144.172.64[.]128.

Een gebruiker op Reddit zei dat ze op 15 oktober een melding ontvingen van de Microsoft Privileged Identity Management-service (PIM) waarin werd gewaarschuwd dat een SkyKick-service-principal zichzelf de rol van Exchange-beheerder had toegewezen, ondanks dat ze de app al jaren niet hebben gebruikt.

Ondanks dat komen sommige van de gemelde ID’s overeen met die welke zijn verstrekt door Huntress, Microsoft en Todyl – een cyberbeveiligingsplatform voornamelijk voor MSP’s en IT-professionals.

Volgens onderzoekers van Todyl authenticeerde de aanvaller rechtstreeks naar Microsoft 365 als de back-upapplicatie met behulp van zijn geheim, en kreeg zo toegang tot de machtigingen die klanten al hadden verleend.

De inlogverzoeken werden uitgevoerd door een geautomatiseerd script, waardoor beschermingen zoals multifactor-authenticatie (MFA) ineffectief waren.

“Omdat de applicatie al over brede, eerder verleende machtigingen beschikte in elke tenant, stelde die inlogpogingen de aanvaller technisch in staat om e-mails en bijlagen te lezen en schrijven, evenals OneDrive- en SharePoint-bestanden en Teams-chats,” aldus Todyl.

In de geanalyseerde inbreuken op negen tenants identificeerden Todyl-onderzoekers alleen inlogactiviteiten en vonden ze geen bewijs dat de dreigingsactor “accounts aanmaakte, machtigingen toevoegde, wachtwoorden veranderde of persistentie vestigde in een tenant via de back-upapp”.

Verkenning en poging tot persistentie

Echter, op bijna 50 tenants die het monitort, zag Huntress dat service-principals voor “ConnectWise’s Cloud Management-apps (Exchange Online, Microsoft Teams en Microsoft Graph) zichzelf directory-rollen toewijzen, meestal Exchange Administrator.”

In één tenant zagen Huntress-onderzoekers ook dat de aanvaller persistentie vestigde, wat ongeveer vijf minuten duurde.

Tijdens de activiteit verleende Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) zichzelf een rol als Global Administrator en voegde inloggegevens toe aan een MSP-beheertool en aan Huntress’s eigen applicatie.

Microsoft zag ook persistentie-activiteit via een achterdeur na succesvolle service-principal-authenticatie, gevolgd door “Microsoft Graph API-verkenning en pogingen om extra inloggegevens toe te voegen.”

Opmerkelijk is dat alle drie de cyberbeveiligingsbedrijven de kwaadaardige activiteit hebben gekoppeld aan hetzelfde 144.172.64[.]128 IP-adres.

Microsoft Threat Intelligence classificeerde het incident als een actieve aanval op de toeleveringsketen en vermoedde dat de aanvaller waarschijnlijk misbruik maakte van bestaande machtigingen, waaronder Directory.ReadWrite.All.

Aanwijzingen en controles van tenants

Huntress identificeerde de legitieme Cloud Backup-applicatie ID 506e08f9-6e9a-4da4-942b-a099a03644ae die in de aanvallen werd gebruikt. Hun onderzoek koppelde het IP-adres van de aanvaller aan gescripte inlogpogingen op 13 en 14 oktober, met de gebruikersagent curl/7.88.1.

Op basis van het huidige bewijs zijn er minimaal drie gebruikersagenten gekoppeld aan de kwaadaardige Cloud Backup-service-activiteit: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2.

ConnectWise raadt beheerders aan de service-principal-inlogactiviteiten in Entra te controleren, te filteren op de Cloud Backup-applicatie-ID en onverwachte bronadressen te onderzoeken.

Microsoft beveelt ook aan om wijzigingen in applicatie-inloggegevens, OAuth-toestemmingen en gerelateerde Graph-activiteiten te herzien.

Huntress raadt beheerders aan de betrokken ConnectWise-applicaties uit te schakelen, evenals de applicatie-inloggegevens te controleren op ongeautoriseerde toevoegingen en andere Cloud Management-integraties te herzien.

Het bedrijf merkt op dat oudere tenants Cloud Management-apps mogelijk vermelden onder ‘SkyKick Cloud Manager’.

Het bedrijf biedt een uitgebreide lijst van applicatie-ID’s aan waarop beheerders moeten letten:

• ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
• ​ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
• ​ConnectWise Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
• ​ConnectWise Cloud Management – Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
• ​ConnectWise Cloud Management – MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
• ​ConnectWise Cloud Management – Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
• ​ConnectWise Cloud Management – SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)

Het afsluiten door de leverancier verwijdert geen inloggegevens die al in klanttenants zijn geïnstalleerd. Huntress zegt dat beheerders geheimen en certificaten in alle applicaties moeten controleren op ongeautoriseerde toevoegingen sinds 13 oktober en die vermeldingen moeten verwijderen.

Todyl waarschuwt dat het uitschakelen van een applicatie nieuwe tokenuitgiftes stopt, maar bestaande tokens blijven geldig totdat ze verlopen, en het intrekken van gebruikerssessies beëindigt geen op applicaties gebaseerde toegang.

ConnectWise kondigde de onderbreking van de back-upservice aan om 05:01 UTC op 17 oktober, maar gaf geen tijdlijn voor herstel van de verbinding.

Het bedrijf heeft geen bewijs geleverd dat opgeslagen back-ups zijn gecompromitteerd en zei dat bestaande archieven toegankelijk zouden zijn wanneer de diensten worden hersteld.

Op het moment van publicatie blijft het onduidelijk hoeveel slachtoffers er zijn, welke gegevens zijn gestolen en hoe de aanvaller leveranciersreferenties heeft verkregen.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.