Atak przez zaufaną aplikację. ConnectWise Cloud Backup otworzył drogę do Microsoft 365
By Paweł Lisowski
Spis treści
Incydent w ConnectWise Cloud Backup pokazał, jak jeden zaufany dostawca może stać się bramą do wielu środowisk Microsoft 365. Według informacji Microsoftu opisanych w materiale źródłowym atakujący, powiązani z Chinami, użyli agentów AI do automatyzacji prób logowania do około 2250 organizacji, osiągając tempo bliskie 3000 prób na minutę.
Problem nie polegał na przejęciu zwykłego konta użytkownika. Napastnicy wykorzystali poświadczenia aplikacji używanej przez ConnectWise Cloud Backup, dawniej SkyKick, do komunikacji z dzierżawami klientów. Taki mechanizm może pozwolić aplikacji uzyskać token Microsoft Graph i działać bez interakcji człowieka. W badanych środowiskach Todyl oznaczało to techniczną możliwość odczytu i zapisu poczty oraz załączników, plików OneDrive i SharePoint, a także danych Teams.
Dlaczego wyłączenie MFA nie rozwiązuje problemu
Uwierzytelnianie aplikacyjne różni się od logowania użytkownika. Poświadczenie klienta może zostać użyte w przepływie OAuth 2.0 client credentials, a wystawiony token jest przypisany do aplikacji, nie do konkretnej osoby. Dlatego samo wieloskładnikowe uwierzytelnianie użytkowników nie zatrzymuje takiego dostępu. Obrona wymaga kontroli zgód aplikacyjnych, uprawnień i logów logowania podmiotów usługi.
Todyl zaobserwował w monitorowanych dzierżawach automatyczne logowania z adresu 144.172.64.128, wykonywane między 7.11 a 8.47 UTC 15 października. Charakterystyczne były między innymi agent użytkownika Python oraz powtarzalny dostęp do kolejnych dzierżaw. Firma zaznacza, że nie ma dowodu na masowe kopiowanie danych, ale ograniczenia widoczności logów sprawiają, że brak takiego dowodu nie jest równoznaczny z brakiem dostępu.
ConnectWise wyłączył usługi i zaleca przegląd dzierżaw
ConnectWise poinformował o nieautoryzowanym dostępie do tożsamości aplikacyjnych Cloud Backup, wyłączył wskazane połączenia i zawiesił Cloud Backup, SaaS Security oraz Cloud Management. Firma podkreśla, że istniejące archiwa kopii zapasowych pozostają zaszyfrowane i odizolowane, a dotychczas nie ma wskazań, by zostały naruszone. To jednak osobna kwestia od bezpieczeństwa aktywnych środowisk Microsoft 365 klientów.
W swoim centrum zaufania ConnectWise wskazuje, że za atakiem najprawdopodobniej stoi grupa powiązana z państwem chińskim, która użyła ogólnodostępnego, agentowego frameworka AI. Narzędzie ARTEX, opisane niezależnie przez firmę S2W w kontekście ataków na sektor finansowy Korei Południowej, potrafi dzielić cel na zadania, uruchamiać narzędzia i iteracyjnie planować kolejne działania. AI nie zastępuje tu poświadczenia ani uprawnień, ale znacząco skraca czas wykonywania powtarzalnych operacji.
Co powinni sprawdzić administratorzy
ConnectWise zaleca przegląd własnej dzierżawy Microsoft 365 oraz wszystkich dzierżaw klientów zarządzanych przez partnera. W centrum administracyjnym Microsoft Entra należy sprawdzić logi Service principal sign-ins, a nie tylko logowania użytkowników, i wyszukać identyfikator aplikacji ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae. Warto zachować logi, sprawdzić adresy IP, role katalogowe, zgody, nowe poświadczenia aplikacji oraz reguły przekazywania poczty.
Dotknięte połączenia należy pozostawić wyłączone do czasu formalnych instrukcji ConnectWise. Administratorzy powinni też ustalić, jakie uprawnienia miała aplikacja, oraz przejrzeć aktywność w poczcie, OneDrive, SharePoint i Teams. Wyłączenie aplikacji blokuje nowe tokeny, ale nie cofa zmian dokonanych wcześniej w dzierżawie. W razie podejrzanych wpisów potrzebne jest wsparcie zespołu bezpieczeństwa lub dostawcy reagowania na incydenty.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.