Скомпрометированный ключ ConnectWise открыл доступ к 173 арендаторам Microsoft 365

Исследователи из Huntress и Todyl предупреждают об активной кампании, в ходе которой неизвестные злоумышленники используют скомпрометированную учётную запись Microsoft 365, принадлежащую сервису ConnectWise Cloud Backup (ранее SkyKick). Это облачное решение для резервного копирования предназначено для управляемых поставщиков услуг (MSP) и для своей работы получает широкий доступ к почтовым ящикам, OneDrive, SharePoint, Teams и каталогу в каждом арендаторе, где оно установлено.

Один ключ ко многим средам

Huntress зафиксировала подтверждённые несанкционированные входы в 173 арендатора партнёров и клиентов. По словам исследователя Джонатана Семона, скомпрометированный ключ использовался для получения токенов Microsoft Graph 15 октября с адреса 144.172.64[.]128 в промежутке с 06:13 до 08:34 UTC. Злоумышленник перебирал арендаторов по отсортированным GUID с интервалом в несколько секунд — почерк скрипта, работающего по заранее составленному списку целей.

Получив токены, атакующий наследует все права приложения: чтение почты, файлов и данных каталога. Тот же IP-адрес 13 и 14 октября вёл перебор паролей против четырёх юридических фирм, хотя успешных входов там не зафиксировано.

Расширение атаки внутри среды

По меньшей мере в одном партнёрском арендаторе отдельное приложение ConnectWise Cloud Management для Teams само назначило себе роль глобального администратора, после чего Python-скрипт добавил новые клиентские секреты к двум другим доверенным приложениям — управляющему инструменту MSP и платформе безопасности самой Huntress. Поскольку такие приложения часто имеют согласие в арендаторах клиентов MSP, это выводит риск далеко за пределы одного аккаунта.

Todyl отмечает тревожную деталь: отзыв пользовательских сессий не прекращает доступ. Отключение приложения останавливает выпуск новых токенов, но уже выданные остаются действительными до 90 минут. А часть обращений, например чтение каталога через Microsoft Graph, вовсе не оставляет следов в журналах — поэтому эксперты советуют действовать немедленно, не дожидаясь доказательств компрометации.

Реакция и рекомендации

ConnectWise временно закрыла доступ приложению Cloud Backup и заявила, что признаков компрометации резервных копий партнёров не обнаружено. Пользователям рекомендуют отключить приложение до сброса всех ключей, включить журналы активности Microsoft Graph, проверить добавление новых учётных данных начиная с 13 октября и просмотреть журналы Entra на предмет приложений ConnectWise или SkyKick, присвоивших себе роли в каталоге. Подозрительная активность отслеживается по Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae во вкладке входов служебных принципалов.

Инцидент совпал с другим сообщением: Google Mandiant и ManageEngine описали «эфемерную» подмену инфраструктуры обновлений ПО AOMEI Backupper. Злоумышленники из кластера UNC7017 с апреля по июль 2026 года короткими окнами по пять–десять минут перенаправляли загрузку обновлений на вредоносные серверы, доставляя загрузчик CROSSROAD и модульный бэкдор SHINYROAD.

Источник: The Hacker News