Alisina NawabiHuntress bevestigt op 17 oktober dat één gestolen ConnectWise Cloud Backup-credential is gebruikt voor ongeautoriseerde app-aanmeldingen in 173 Microsoft 365-tenants; ConnectWise heeft de app stilgezet.
Voor Nederlandse organisaties met de app betekent dit dat nieuwe back-ups stilliggen terwijl toegang tot de live tenant gecontroleerd moet worden. ConnectWise zegt dat eerder opgeslagen archieven na herstel weer toegankelijk zijn.
De app meldde zich als leverancier
Cloud Backup is een back-up- en hersteldienst voor managed service providers. ConnectWise zegt op de productpagina dat de app Exchange, OneDrive, SharePoint, Teams, Planner, Groups en Entra ID afdekt, met tot zes snapshots per dag.
Op 15 oktober vroeg de Cloud Backup-app tussen 06:13 en 08:34 UTC Microsoft Graph-tokens aan vanaf IP-adres 144.172.64[.]128. Huntress schrijft dat de app zich aanmeldde met één buitgemaakte app-sleutel uit ConnectWises eigen tenant. De aanmeldingen liepen in oplopende GUID-volgorde, seconden uit elkaar, een patroon dat op een geautomatiseerde lijst wijst. Het betrof app-ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
De aanmelding gebruikte geen medewerkerswachtwoord. De aanvaller kreeg de rechten die een beheerder per tenant al aan de app had verleend, waaronder mogelijk toegang tot mailboxen, bestanden en Teams. Een wachtwoordreset of MFA voor gebruikers stopt zo'n app-aanmelding niet.
De storing laat snapshots pauzeren
ConnectWise meldde op 16 oktober onderzoek naar ongeautoriseerde toegangspogingen. De update van 17 oktober om 05:01 UTC bevestigde toegang tot applicatie-identiteiten in de Cloud Backup-omgeving. Als voorzorg zette het bedrijf de app-toegang uit. De back-updienst blijft tot nader bericht onderbroken; het onderzoek loopt nog.
ConnectWise zegt geen aanwijzingen te hebben dat de opgeslagen back-uparchieven van partners zijn geraakt. De archieven blijven buiten de onderbreking en zijn toegankelijk zodra de dienst is hersteld. Die verklaring gaat over de kopieën die de leverancier bewaart. Ze sluit niet uit dat een aanvaller met dezelfde app-rechten gegevens uit een live Microsoft 365-tenant kon lezen.
Met maximaal zes snapshots per dag kan een langdurige onderbreking de datum van het laatste bruikbare herstelpunt verder achter zich laten, ook als de eerdere kopie intact blijft.
173 tenants zeggen niets over kopieën
In een update van 17 oktober bevestigt Huntress aanmeldingen in 173 partner- en klanttenants. De technische Huntress-blog gaf 162 als stand om 19:00 UTC op 16 oktober; BleepingComputer noemt dezelfde eerdere stand van 162. De bronnen leggen niet uit hoe de telling tussen die twee peilmomenten veranderde. Het gaat om tenants met app-aanmeldingen, niet om gebruikers of aantoonbaar gekopieerde mailboxen.
Todyl vond app-aanmeldingen in negen onderzochte tenants. Bij tenants zonder actief back-upabonnement zagen de onderzoekers geen mailbox- of bestandslezingen. Bij actieve abonnementen konden de logboeken leesactiviteit niet onderscheiden van normaal appverkeer; Microsoft Graph-activiteitslogboeken waren daar niet ingeschakeld.
Los daarvan zag Huntress in bijna vijftig gemonitorde tenants ConnectWise Cloud Management-apps zichzelf directoryrollen toewijzen, meestal Exchange Administrator. In één tenant maakte de Cloud Management-app voor Microsoft Teams zichzelf Global Administrator en voegde ze geheimen toe aan twee andere apps. De activiteit begon ruim twee uur voor de Cloud Backup-aanmeldingen, maar Huntress kon de twee sporen niet aan dezelfde operator koppelen.
Kijk naar de service principal
Controleer in Entra de service principal-aanmeldingen, niet alleen gebruikersaanmeldingen. Microsoft registreert service principal-aanmeldingen als apart logtype voor applicaties die zonder gebruiker aanmelden. Filter op app-ID 506e08f9-6e9a-4da4-942b-a099a03644ae en onderzoek verkeer vanaf 144.172.64[.]128. ConnectWise zegt dat een IP-treffer onderzoek vereist, maar op zichzelf geen inbraak bewijst.
Huntress adviseert de app uit te schakelen in plaats van te verwijderen. Todyl meldt dat uitschakelen nieuwe tokens stopt, maar al uitgegeven tokens nog tot 90 minuten geldig kunnen zijn. Controleer ook andere ConnectWise- en SkyKick-apps, onverwachte directoryrollen en clientgeheimen of certificaten die sinds 13 oktober zijn toegevoegd. Laat de betrokken apps uit tot ConnectWise bevestigt dat de credential is geroteerd.
Een leverancierscredential speelde eerder ook een rol toen een Klue-inloggegeven uit een beperkte pilot van 2022 bijna vier jaar actief bleef en aanvallers OAuth-tokens naar klantdata bracht. App-tokens kunnen toegang houden na een wachtwoordreset en MFA zolang de applicatietoestemming blijft gelden. Bij Accenture stonden Azure-tokens en SSH-sleutels tussen gestolen interne gegevens van een IT-leverancier. In al deze gevallen zit de toegangssleutel in een andere laag dan het werknemersaccount.
De incidentrespons loopt daarom op twee klokken. De eerste is wanneer ConnectWise de dienst en nieuwe snapshots herstelt. De tweede loopt per tenant: wanneer de credential is geroteerd en andere applicatierechten en geheimen zijn nagekeken. Een statusmelding over de back-updienst beantwoordt die tenantvraag niet.
Veelgestelde vragen
Van toegang naar grip
Ik denk met je mee over welke systemen samenwerken, ontwerp de route van gegevens en bouw de koppelingen end-to-end. Waar dat kan host ik de oplossing zelf en automatiseer ik het beheer.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
