- Неизвестные злоумышленники скомпрометировали учетные данные API сервиса ConnectWise Cloud Backup (ранее SkyKick) и проникли в 173 тенанта Microsoft 365.
- ConnectWise экстренно отключила сервис резервного копирования, смежные инструменты Cloud Management и SaaS Security, а также деактивировала скомпрометированные идентификаторы приложений.
- Инцидент затронул экосистему управляемых поставщиков услуг (MSP), при этом зафиксированы случаи самовольного назначения прав Global Administrator в инфраструктуре клиентов.
Масштабный инцидент в цепочке поставок MSP
Провайдер решений для управляемых поставщиков услуг ConnectWise столкнулся с серьезным инцидентом безопасности, затронувшим облачную инфраструктуру клиентов. Злоумышленники получили несанкционированный доступ к секретам API и учетным записям приложений сервиса ConnectWise Cloud Backup (ранее известного как SkyKick). В результате атаки хакеры смогли авторизоваться как минимум в 173 клиентских тенантах платформы Microsoft 365.
Компания обнаружила несанкционированную активность 15 октября и уже 16 октября опубликовала официальное предупреждение. Для сдерживания угрозы были приостановлены операции Cloud Backup, а также тесно интегрированные с ним службы SaaS Security и Cloud Management. В результате клиенты временно лишились возможности создавать резервные копии, восстанавливать данные и просматривать архивы.
Детали атаки и действия атакующих
Специалисты компании Huntress, специализирующейся на кибербезопасности, зафиксировали тревожные сценарии эскалации привилегий. В одном из партнерских тенантов приложение ConnectWise Cloud Management - MS Teams (Application ID: 24205314-2b89-4e07-a2a4-579e898a5640) самостоятельно выдало себе права Global Administrator, после чего внедрило новые учетные данные еще в два приложения, включая партнерскую интеграцию Huntress.
Подобные скоординированные цепочки компрометации подчеркивают уязвимость корпоративных сред, аналогично тому, как ранее хакер использовал ИИ-агентов для взлома сайтов более 100 крупных корпораций через автоматизацию системных уязвимостей.
| Идентификатор приложения (App ID) | Сервисный компонент | Текущий статус |
|---|---|---|
| 506e08f9-6e9a-4da4-942b-a099a03644ae | ConnectWise Cloud Backup | Отключен / Скомпрометирован |
| 24205314-2b89-4e07-a2a4-579e898a5640 | ConnectWise Cloud Management - MS Teams | Отключен / Повышение прав |
Реакция вендора и текущие меры сдерживания
Вице-президент ConnectWise по операциям безопасности Джейсон Фергюсон заверил, что существующие архивы данных остаются изолированными, зашифрованными и не содержат признаков прямого хищения. В качестве ответных мер вендор предпринял следующие шаги:
- Приостановил работу семи идентификаторов приложений ConnectWise;
- Заблокировал интеграции между Cloud Backup и сервисами Exchange, Teams, SharePoint Online;
- Провел массовый сброс паролей учетных записей и замену секретов приложений;
- Усилил защиту административного доступа к инфраструктуре.
ConnectWise подчеркивает, что не обладает прямой видимостью всех клиентских окружений из-за архитектуры взаимодействия через партнеров-MSP, поэтому бремя ревизии прав ложится на плечи самих администраторов.
Простого отключения скомпрометированных приложений ConnectWise недостаточно для нейтрализации угрозы. Системным администраторам и специалистам MSP необходимо вручную провести аудит всех приложений и секретов в тенантах Microsoft 365, проверить журналы на факт выдачи роли Global Administrator и удалить любые подозрительные API-ключи, добавленные во время окна компрометации.
Мы как раз сидим на ConnectWise, бэкапы почты и SharePoint поднимались отлично, но безопасность интеграций всегда вызывала вопросы. Когда прилетело уведомление, сразу полезли в Entra ID и вручную отозвали все Enterprise Apps от SkyKick. Советую всем админам настроить алерты на выдачу роли Global Admin сторонним сервисным принципалам, иначе такой перехват прав просто не заметить вовремя.