ConnectWise отключила ConnectWise Cloud Backup, а затем и сервисы SaaS Security и Cloud Management после сообщений о возможном использовании учётных данных её приложений для входа в Microsoft 365. Исследователи Huntress зафиксировали активность более чем в 1 000 тенантов Microsoft Entra; свыше 300 попыток аутентификации завершились успешно. Для MSP и их заказчиков это неприятное напоминание: интеграция, созданная для резервного копирования, при компрометации может стать пропуском сразу в десятки клиентских сред.
Инцидент обнаружили 14 октября. 16 октября ConnectWise начала раскрывать детали возможной атаки на цепочку поставок, а 17 октября выключила Cloud Backup для партнёров и клиентов. По данным Dark Reading, компания обнаружила несанкционированный доступ к идентификаторам приложений, связанным с продуктом. Расследование продолжается, к нему привлекли внешнюю команду реагирования. Подтверждённый способ первоначальной компрометации пока не назван, как и конкретная группа атакующих.
ConnectWise Cloud Backup, ранее известный как SkyKick, работает с данными Microsoft 365. Поэтому заказчики предоставляют приложению широкие разрешения в Microsoft 365 и Entra: доступ к Exchange, OneDrive, SharePoint, Teams и другим рабочим нагрузкам. В штатном режиме без таких прав резервное копирование просто не заработает. В нештатном режиме это уже не сервис бэкапа, а потенциально очень удобная точка входа в корпоративную инфраструктуру.
Компания сообщила, что отозвала сертификаты, использовавшиеся затронутыми подключениями, аннулировала общие учётные данные Cloud Backup и ротировала либо отключила скомпрометированные идентификаторы, найденные к моменту публикации. Функции резервного копирования, восстановления, мониторинга SaaS Security и Cloud Management остаются недоступными. ConnectWise также опубликовала индикаторы компрометации и посоветовала клиентам проверить собственные тенанты Microsoft 365 и тенанты управляемых заказчиков — включая те, где старые подключения SkyKick давно не используются.
Спор не о фактах, а о слове «компрометация»
В оценке масштаба происшествия возникла показательная разница. ConnectWise заявляет, что не выявила подтверждённого компрометирования клиентов. Это не означает, что подозрительной активности не было: у поставщика нет независимой видимости во все клиентские среды Microsoft 365 и он не может сам установить, что именно сделал злоумышленник после входа в конкретный тенант.
Huntress смотрит на ситуацию строже. Исследователь компании Джонатан Семон написал, что с высокой уверенностью атакующий злоупотреблял приложениями ConnectWise для Exchange Online, Microsoft Teams, SharePoint Online, Cloud Backup, Microsoft Graph и Partner Center. Huntress связывает активность с IP-адресом 144.172.64[.]128. По наблюдениям компании, сначала шло широкое сканирование множества организаций, а затем — менее масштабная и более ручная попытка пройти по организациям из сфер государственной политики, национальной безопасности, торговли и критически важных полезных ископаемых. Вторая волна успеха не принесла.
Разница формулировок здесь важна для практики. Для ConnectWise «подтверждённая компрометация» — это установленный ущерб или несанкционированная активность внутри среды клиента. Для исследователей сам успешный вход в тенант с чужими полномочиями уже достаточный признак downstream-инцидента. В условиях, когда приложение имеет доступ к почте, файлам и совместной работе, спор о термине не должен откладывать расследование: сначала нужно проверить следы доступа, потом уточнять юридически аккуратную классификацию.
Отключить приложение недостаточно
Наиболее тревожные наблюдения Huntress относятся к двум тенантам. Там приложение ConnectWise выдало себе роль Global Administrator — максимальный уровень административных прав в Microsoft 365 — и добавило учётные данные другим приложениям. Такая последовательность нужна, чтобы сохранить доступ, даже если исходный ключ ConnectWise будет отозван. Именно поэтому простое отключение затронутого приложения может закрыть дверь, но не обязательно убрать уже оставленный в системе запасной вход.
Для российских компаний и MSP, использующих Microsoft 365 в международных контурах, сценарий универсален и не зависит от географии поставщика. Стоит инвентаризировать корпоративные приложения Entra, отдельно найти действующие и «забытые» подключения SkyKick или ConnectWise, проверить назначения Global Administrator и недавно созданные секреты либо сертификаты у приложений. Нужны также журналы входов, изменения согласий на разрешения, добавления сервисных принципалов и подозрительные операции с почтой, SharePoint, OneDrive и Teams. До выяснения обстоятельств полезно подтвердить, какие резервные копии доступны, где хранятся и можно ли восстановиться без штатного интерфейса ConnectWise Cloud Backup.
Инцидент показывает слабое место модели SaaS-поставок: чем больше сервис полезен администратору, тем ценнее его идентификатор для атакующего. Защита здесь упирается не только в MFA для сотрудников, но и в дисциплину вокруг машинных учётных данных, согласий приложений и минимальных привилегий. Главный открытый вопрос — успели ли атакующие извлечь данные или закрепиться в тех тенантах, где вход был успешным. Ответ придётся искать уже в логах самих организаций, а не в статус-странице поставщика.