Atac prin serviciul de backup ConnectWise: hackerii au intrat în conturile Microsoft 365 ale unor firme

Un atacator necunoscut a folosit serviciul ConnectWise Cloud Backup, cunoscut anterior ca SkyKick Cloud Backup, ca să intre în conturile Microsoft 365 ale unor companii. Serviciul face copii de siguranță pentru e-mailurile și fișierele din Microsoft 365 și este folosit mai ales de firmele IT care administrează sistemele altor companii.

Potrivit BleepingComputer, Microsoft a observat activitatea malițioasă începând cu 15 octombrie și a descris-o ca un atac activ asupra lanțului de furnizori („supply chain”). ConnectWise a anunțat că a descoperit „acces neautorizat la identitățile aplicațiilor” din mediul Cloud Backup și a oprit accesul clienților și partenerilor la serviciu.

Cât de mare e atacul

Numărul total al victimelor nu este cunoscut. Doar firma de securitate Huntress a identificat cel puțin 162 de organizații compromise printre clienții pe care îi monitorizează, iar rapoartele ulterioare vorbesc despre 173.

Atacatorii s-au conectat folosind cheia secretă a aplicației de backup. Asta le-a dat, tehnic, posibilitatea să citească și să modifice e-mailuri, fișiere din OneDrive și SharePoint și conversații din Teams. Nu e clar încă ce date au fost luate. ConnectWise spune că nu are indicii că arhivele de backup ar fi fost compromise.

În unele cazuri, atacatorii au încercat să-și păstreze accesul: și-au acordat drepturi de administrator, iar într-un caz chiar de administrator global, și au adăugat chei noi de acces.

Ce trebuie să facă firmele

Dacă firma ta folosește Microsoft 365 printr-un furnizor IT, întreabă-l dacă folosește ConnectWise sau SkyKick pentru backup. Pentru administratori, recomandările ConnectWise, Microsoft și Huntress sunt:

1. dezactivează, nu șterge, aplicația ConnectWise Cloud Backup din Microsoft Entra ID (ID-ul aplicației: 506e08f9-6e9a-4da4-942b-a099a03644ae), plus celelalte aplicații ConnectWise sau SkyKick care nu pot fi verificate;
2. verifică ce chei secrete, certificate și drepturi de administrator au fost adăugate după 13 octombrie;
3. analizează jurnalele de autentificare ale aplicației și activitatea neobișnuită din Exchange, OneDrive și Teams.

Pentru utilizatorii obișnuiți, regula rămâne aceeași: activează autentificarea în doi pași și fii atent la e-mailurile neobișnuite care par să vină de la colegi.