ConnectWise Cloud Backup (fost SkyKick): identități de aplicație folosite pentru a intra în tenanți Microsoft 365. Ce verifici dacă ai un MSP

• Microsoft a publicat pe 21 octombrie o analiză în care evaluează că actorul Storm-0940, descris ca aliniat cu statul chinez, este responsabil pentru compromitere și a folosit agenți AI din cadrul ARTEX. Potrivit Microsoft, actorul a încercat autentificări în peste 2.250 de tenanți, iar metoda prin care au fost obținute secretele aplicației nu este cunoscută. Beijingul neagă, potrivit Reuters. Afirmația din actualizarea anterioară, că atribuirea apărea doar într-un titlu, este depășită; vezi analiza separată despre Storm-0940 și ARTEX.

• CyberScoop, citând Huntress, descrie credențialul compromis ca pe un secret de aplicație „foarte sensibil”: aplicația este multi-tenant, deci oricine deține secretul poate cere tokenuri de acces în orice tenant în care aplicația este instalată, fără acțiune din partea clientului. ConnectWise nu a spus cum au obținut atacatorii secretul; cauza rămâne în investigație.
• Huntress a confirmat autentificări neautorizate în 162 de tenanți și spune că sunt probabile compromiteri dincolo de telemetria ei; aproape 1.000 de tenanți au avut autentificări de la infrastructura rău intenționată, iar peste 300 par reușite. Formularea „sute de clienți” din titlurile presei este un rezumat al publicațiilor, nu un total confirmat.
• ConnectWise spune că nu a văzut activitate reușită a atacatorilor în mediile pe care le monitorizează de la începutul măsurilor, dar că asta nu confirmă ce s-a întâmplat în tenanții clienților. Restaurarea serviciilor continuă, fără termen. Un titlu asociat din presă atribuie atacul unui grup aliniat cu un stat; nu apare în corpul articolului și nu l-am putut verifica.

• ConnectWise spune că a identificat „acces neautorizat la identități de aplicație” în mediul Cloud Backup și a oprit accesul aplicațiilor pentru parteneri și clienți. A dezactivat șapte identități de aplicație (Cloud Backup și mai multe variante Cloud Management) pe 17 octombrie și a suspendat serviciul prin revocarea certificatelor. Potrivit The Hacker News, ConnectWise spune că problema a fost identificată pe 14 octombrie prin propria monitorizare.
• Cloud Backup, SaaS Security și Cloud Management sunt suspendate cât timp se desfășoară remedierea și validarea. Copiile programate nu rulează, iar accesul la arhive și restaurările nu sunt disponibile, potrivit ConnectWise, citată de The Hacker News.
• ConnectWise spune că nu are indicii, până acum, că datele de backup ale partenerilor au fost compromise, că arhivele existente rămân criptate și izolate și că credențialele partajate afectate nu mai sunt valide. Avertizează că tokenurile emise înainte pot rămâne utilizabile până expiră și că oprirea serviciului nu anulează modificările făcute deja în tenanți.
• Huntress a confirmat compromiterea și a văzut identități de tip Cloud Management care își atribuie singure roluri de director, în principal Exchange Administrator, în aproape 50 de tenanți pe care îi monitorizează. Într-un tenant, o identitate a primit rolul de Global Administrator și a adăugat credențiale în aplicații. Microsoft a observat un backdoor după autentificarea contului de serviciu, urmată de recunoaștere prin Graph API și încercări de adăugare de credențiale, potrivit BleepingComputer.
• Todyl a analizat nouă intruziuni și a găsit doar activitate de autentificare. Potrivit Todyl, atacatorul s-a autentificat direct ca aplicația de backup, folosind secretul ei, printr-un script automat, deci fără autentificare multifactor, care se aplică utilizatorilor, nu secretelor de aplicație.

• Câți tenanți sunt afectați: BleepingComputer citează Huntress pentru cel puțin 162 de tenanți compromiși în mediul propriu; un titlu The Hacker News din 17 octombrie vorbea de 173; un articol ulterior al aceleiași publicații relatează, tot după Huntress, aproape 1.000 de tenanți cu încercări de autentificare de la adresa rău intenționată, dintre care circa 300 reușite. Cifrele diferă după moment și metodă; nu există un total confirmat.
• Cum au obținut atacatorii credențialele aplicației: necunoscut, și nu se știe dacă a contribuit o vulnerabilitate a produsului.
• Cât din datele din tenanți au fost citite sau copiate: necunoscut. Permisiunile aplicației permiteau, potrivit Todyl, citirea și scrierea de e-mail, fișiere și mesaje Teams.
• Care aplicații sunt efectiv dezactivate: Huntress spune că unele aplicații Cloud Management nu par oprite, în timp ce lista ConnectWise le include; sursele nu rezolvă diferența.
• Atribuirea: nimeni nu a revendicat atacul și nu există o atribuire în sursele citite.

Când ConnectWise oprește serviciul, aplicația nu mai poate obține tokenuri noi, dar tokenurile deja emise rămân valide până expiră, iar revocarea sesiunilor utilizatorilor nu închide accesul bazat pe aplicație, potrivit Todyl. Mai ales, ce a fost deja plantat în tenantul tău, roluri, credențiale adăugate în aplicații sau reguli de e-mail, rămâne acolo.

Deci nu aștepta ca furnizorul să-ți spună că ești curat. Verifică tenantul tu.

• Caută aplicațiile ConnectWise Cloud Backup, Cloud Management și SkyKick în aplicațiile de întreprindere și consultă avizul ConnectWise pentru identificatorii exacți ai aplicațiilor.
• Păstrează jurnalele de autentificare și de audit înainte de orice acțiune, apoi revizuiește autentificările conturilor de serviciu ale acestor aplicații de la 13 octombrie încoace și caută surse neașteptate.
• Verifică secretele și certificatele adăugate aplicațiilor, atribuirile de roluri de director (în special Exchange Administrator și Global Administrator), proprietarii aplicațiilor, acordurile de consimțământ și schimbările recente de politici.
• Caută redirecționări de e-mail, reguli de transport și delegări de acces la cutii poștale neautorizate.
• Dezactivează aplicațiile implicate și revizuiește celelalte integrări Cloud Management. Reține că dezactivarea oprește tokenurile noi, nu pe cele existente.
• Dacă găsești ceva, tratează-l ca incident: izolează, investighează identitățile modificate, rotește credențialele și raportează.

• Copiile de siguranță pentru Microsoft 365 nu rulează acum, dacă folosești acest serviciu. Cât de mult este acceptabil să nu ai backup și ce alternativă ai până revine serviciul?
• Ce aplicații de la terți au permisiuni de tip Directory.ReadWrite.All sau asemănătoare în tenantul tău? Microsoft a notat că atacatorul a abuzat permisiuni deja existente. Inventariază aplicațiile și conturile de serviciu, scoate permisiunile nefolosite.
• Limitează rolurile de Application Administrator, aplică politici de gestionare a aplicațiilor și Conditional Access pentru identități de tip workload, spune Huntress, și monitorizează schimbările de roluri cu alerte.
• Ce te anunță contractual MSP-ul tău și în cât timp, dacă un instrument al lui este compromis? Cere-i să-ți spună ce aplicații are în tenantul tău și ce permisiuni au.

Un MSP și instrumentele lui fac parte din lanțul tău de aprovizionare, iar NIS2 cere gestionarea acestui risc. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Declarațiile ConnectWise sunt sursa pentru ce a făcut compania. Huntress, Todyl și Microsoft, citate de presă, sunt sursele pentru ce s-a văzut în tenanți. Nu am inclus aici adresele IP și alți indicatori; ConnectWise și Huntress i-au publicat și se pot actualiza.

Awarely Monitor poate ajuta la inventarul aplicațiilor și al expunerilor din tenant, iar Awarely Learning la exercițiile pentru conducere și achiziții despre accesul furnizorilor. Articolul nu este consultanță juridică și nu garantează conformitatea.