Суть инцидента
В среде ConnectWise Cloud Backup (ранее SkyKick Cloud Backup) зафиксирована атака на цепочку поставок, в результате которой были скомпрометированы как минимум 162 арендатора Microsoft 365.
Злоумышленники получили client secret облачного бэкап‑приложения и начали аутентифицироваться напрямую как его service principal в арендаторах клиентов. Поскольку приложению заранее были выданы широкие права, атакующие унаследовали эти разрешения, включая Directory.ReadWrite.All и доступ к почте, файлам OneDrive/SharePoint и переписке в Teams.
Факт атаки подтверждён Microsoft, Huntress и ConnectWise. В ответ ConnectWise:
- Приостановила работу Cloud Backup, SaaS Security и Cloud Management;
- Отключила семь затронутых идентичностей приложений (17 октября, 07:00 UTC);
- Аннулировала сертификаты, использовавшиеся для этих подключений.
Задания бэкапа, доступ к архивам и операции восстановления сейчас недоступны. По данным ConnectWise, существующие архивы бэкапов остаются зашифрованными и изолированными, признаков их компрометации нет.
Технические детали и TTP
По данным Microsoft, Huntress и ConnectWise, зафиксирована скриптовая активность входа с IP:
- 144.172.64[.]128 (дополнительно указаны 144.172.64[.]60 и 144.172.64[.]99);
- User‑agent:
python-urllib/3.12,python-requests/2.31,python-requests/2.34.2,curl/7.88.1.
Атака не использовала вредоносные бинарные файлы — злоумышленники опирались на украденные учётные данные приложения и вызывали Microsoft Graph API.
В ряде арендаторов наблюдались:
- Эскалация привилегий через назначение ролей Exchange Administrator и Global Administrator сервисным принципалам и связанным приложениям;
- Создание устойчивости (persistence) путём добавления новых client secret к другим доверенным приложениям;
- Разведка через Graph API (перечисление объектов каталога, попытки добавить дополнительные учётные данные).
Так как использовалась аутентификация приложения, атака обошла MFA и пользовательские политики входа — логины пользователей не задействовались. Деятельность коррелирует с несколькими техниками MITRE ATT&CK: T1078.004 (Valid Accounts: Cloud Accounts), T1195.002 (Supply Chain Compromise), T1098.003 (Additional Cloud Credentials), T1087.004 (Cloud Account Discovery), T1550.001 (Application Access Token).
На 18 октября 2026 года конкретная группа или государственный актор публично не атрибутированы.
Рекомендации для MSP и администраторов
ConnectWise призывает всех партнёров следовать Cloud Backup technical investigation and remediation guide и проверить как свои, так и клиентские арендаторы Microsoft 365.
Ключевые шаги для MSP и админов Microsoft 365:
- Проверить разделы Enterprise applications / App registrations на наличие следующих Application ID:
- Cloud Backup:
506e08f9-6e9a-4da4-942b-a099a03644ae - Cloud Management:
2399d300-6fca-4e6a-a686-399fefe75b83 - Cloud Management – MS Teams:
24205314-2b89-4e07-a2a4-579e898a5640 - Cloud Management – Exchange Online:
b78f6a77-d4e5-46fb-87e5-d1648bd02519 - Cloud Management – MS Graph:
0de14c77-b9b0-4137-9360-34878a929827 - Cloud Management – Partner Center:
412dcf96-176d-4b3a-a1b0-4981ad66971e - Cloud Management – SharePoint Online:
b2b55f5b-7758-4719-8d8f-88ae172e6bdb; - Проанализировать Sign‑in logs и Audit logs на активность с подсети 144.172.64.0/24 и указанных user‑agent;
- Проверить назначенные этим приложениям роли, особенно Global Admin и Exchange Admin;
- Повернуть (rotate) все client secret и сертификаты затронутых приложений, удалить неожиданные учётные данные;
- Оставить приложения ConnectWise отключёнными, пока не будут опубликованы официальные инструкции по безопасному восстановлению.
Если вы потребляете эти сервисы через реселлера, дистрибьютора или маркетплейс, убедитесь, что рекомендации дошли до администратора каждого арендатора. Актуальный статус и обновлённые индикаторы компрометации публикуются в ConnectWise Trust Center; подозрительную активность следует направлять на [email protected].
Источник: ConnectWise, Gündəm · rescana.com
