Хакери користат компромитирани акредитиви на ConnectWise за да добијат пристап до 173 клиенти на Microsoft 365

Истражувачите за сајбер-безбедност предупредуваат за активна кампања во која непознати заканувачки актери злоупотребуваат компромитирани акредитиви за Microsoft 365 (M365), кои му припаѓаат на ConnectWise Cloud Backup (поранешен SkyKick), со цел да добијат неовластен пристап до Microsoft 365 околините на клиентите.

ConnectWise Cloud Backup е услуга за резервно копирање и обновување податоци базирана на облак, наменета за даватели на управувани ИТ-услуги (MSP), за заштита на податоците на нивните клиенти во Microsoft 365 или Google Workspace. За да ги извршува своите задачи, на апликацијата ѝ се доделува широк пристап до поштенските сандачиња, OneDrive, SharePoint, Teams и податоците од директориумот на секој клиент кај кој е инсталирана.

Компанијата Huntress соопшти дека потврдила неовластени најавувања кај 173 клиенти и партнери, при што биле користени компромитираните акредитиви на добавувачот. Инцидентот ги засега сите организации во кои е инсталирана апликацијата, а компромитираниот акредитив може да се користи за пристап до секој клиент кај кој апликацијата добила дозвола за пристап.

„Акредитивот на апликацијата е во рацете на напаѓачите“, изјави истражувачот за безбедност Џонатан Симон. „Тој бил искористен за добивање токени на Microsoft Graph во околините на клиентите од IP-адресата 144.172.64[.]128 на 15 октомври, помеѓу 06:13 и 08:34 часот по универзално координирано време (UTC). Напаѓачот се движел низ клиентските околини според сортиран редослед на GUID-идентификаторите, со растојание од неколку секунди меѓу нив, што укажува на скрипта која работела врз основа на листа на цели.“

Кај набљудуваните напади, утврдено е дека напаѓачот се автентицирал во апликацијата со користење сопствени алатки, на начин сличен на работата на услугата за резервно копирање, и добивал токени со постојните дозволи на апликацијата.

Бидејќи апликацијата има широки дозволи за пристап до податоците на клиентите, напаѓач кој ги поседува овие токени може да ги чита поштенските сандачиња, датотеките и податоците од директориумот до кои има пристап и самата услуга за резервно копирање.

Huntress соопшти дека истата IP-адреса извршувала напади со испробување лозинки врз околините на четири адвокатски канцеларии на 13 и 14 октомври 2026 година, иако, според телеметриските податоци, не биле откриени успешни најавувања на корисници.

Во најмалку една клиентска околина на партнер, компанијата за сајбер-безбедност открила друга апликација на ConnectWise која сама си доделила привилегии на Global Administrator и додала акредитиви во други доверливи апликации во истата околина. На тој начин се отворил пат за пристап до други апликации со високи привилегии во околините на клиентите. Ова практично го проширува ризикот надвор од сметката на добавувачот.

„Апликацијата ConnectWise Cloud Management за Microsoft Teams (ID на апликацијата: 24205314-2b89-4e07-a2a4-579e898a5640) се додала себеси во улогата Global Administrator, а потоа извршила Python-скрипта (User-Agent: Python-urllib/3.12), која изменила две други апликации во околината: апликација за управување со MSP и сопствената апликација на Huntress (Huntress Security Platform). Во двете биле додадени нови клиентски тајни (client secrets)“, објасни Симон.

„Двете апликации што добиле нови тајни се доверливи алатки со високи привилегии. Додавањето акредитив во апликација за управување со MSP може да го прошири пристапот надвор од еден клиент, бидејќи на овие апликации често им се дава согласност за пристап и во околините на клиентите на MSP. Акредитивот на апликација за безбедносна алатка му овозможува на неговиот сопственик да го прави сето она што ѝ е дозволено на таа алатка.“

Компанијата Todyl, во слична анализа, соопшти дека открила неовластен субјект кој се автентицирал во Microsoft Graph претставувајќи се како апликацијата ConnectWise Cloud Backup.

„Пристапот ги наследил постојните дозволи за кои апликацијата веќе имала согласност. Тие дозволуваат читање и запишување пошта и прилози (целосен пристап до поштенското сандаче преку Exchange Web Services), датотеки во OneDrive и SharePoint, како и разговори во Teams, вклучувајќи ја и можноста за обновување податоци“, изјави Николас Кокен, раководител на одделот за инженерство за откривање закани во Todyl.

„Отповикувањето на корисничките сесии не го прекинува овој пристап. Оневозможувањето на апликацијата во околината на одреден клиент спречува издавање нови токени таму, но веќе издадените токени остануваат валидни до 90 минути. Секој клиент кај кој апликацијата сè уште е овозможена останува изложен сè додека ConnectWise не го промени компромитираниот акредитив.“

Како одговор на инцидентот, ConnectWise го презеде чекорот да го блокира пристапот на апликацијата Cloud Backup до понатамошно известување. Компанијата соопшти дека не пронашла докази дека биле компромитирани резервните копии на партнерите што ја користат Cloud Backup. Исто така, ги сподели следните чекори за проверка на индикатори за компромитирање:

• Во Microsoft Entra Admin Center, одете во Monitoring → Sign-in logs, изберете го јазичето Service principal sign-ins и филтрирајте според ID на апликацијата 506e08f9-6e9a-4da4-942b-a099a03644ae.
• Стандардното јазиче User sign-ins нема да ги прикаже потребните информации.
• Во колоната IP address, проверете ја активноста за автентикација што потекнува од IP-адреси надвор од очекуваните опсези на Microsoft/Azure. Утврдено е дека нормалниот излезен сообраќај на апликацијата користи приватна IPv6-адреса во Azure.
• Сомнителна IP-адреса: 144.172.64[.]128.

„На услугата за резервно копирање ѝ е потребен широк пристап за да ја извршува својата работа, а напаѓачот што ги користи нејзините акредитиви го наследува истото ниво на пристап кај секој клиент во чија околина е инсталирана апликацијата“, објасни Huntress.

„Во зависност од дозволите кај клиентот, тоа може да вклучува поштенски сандачиња, датотеки во OneDrive и SharePoint, податоци од Teams и информации од директориумот, од кои голем дел им припаѓаат на вашите клиенти. Дел од тој пристап, како што е читањето податоци од директориумот преку Microsoft Graph, не остава трага во ревизорските записи. Затоа препорачуваме да се дејствува веднаш, наместо да се чека доказ дека пристапот навистина бил искористен. Целосното потенцијално влијание зависи од дозволите што се активни во околината на секој клиент.“

На корисниците им се препорачува да ја оневозможат апликацијата сè додека ConnectWise не потврди дека сите акредитиви се ресетирани, да ги овозможат дневниците за активностите на Microsoft Graph, да извршат ревизија за сите нови акредитиви додадени по 13 октомври 2026 година и да ги проверат ревизорските дневници на Entra за апликации на ConnectWise или SkyKick што се додале себеси во некоја улога во директориумот.

Овој инцидент се случува во време кога Mandiant и Google Threat Intelligence Group на Google, заедно со ManageEngine Threat Analysis Lab, објавија детали за „краткотрајно манипулирање со синџирот на снабдување“ во инфраструктурата за ажурирање на AOMEI Backupper — софтвер за резервни копии на податоци, клонирање дискови и обновување по катастрофи. Целта била да се заобиколат традиционалните безбедносни механизми и да се достави малициозен софтвер како CROSSROAD и SHINYROAD.

„Напаѓачот постојано вршел краткотрајни промени во конфигурацијата на изворните сервери на AOMEI“, соопшти Google. „Секој период на манипулација траел само пет до десет минути, по што конфигурацијата се враќала на автентичните верзии. Во тие кратки периоди, напаѓачот ја менувал датотеката со поставки за ажурирање на серверот, пренасочувајќи го софтверот да презема малициозна ZIP-датотека од сервери контролирани од напаѓачот, наместо легитимни ажурирања.“

ZIP-архивата содржи CROSSROAD, почетен преземач (downloader) одговорен за проверка на околината и подготовка за преземање дополнителни малициозни компоненти. Тој е дизајниран и за воспоставување постојан пристап преку закажани задачи, со цел да го распореди SHINYROAD — модуларна рамка за задна врата (backdoor), наменета за прикриена комуникација и далечинско управување, преку техниката DLL sideloading.

Кампањата со компромитирање на синџирот на снабдување со софтвер се одвивала помеѓу април и јули 2026 година и му се припишува на претходно недокументиран кластер на закани со кодно име UNC7017.

Оваа активност е значајна затоа што претставува прв случај во кој ваков тип компромитирање се одвива во кратки временски интервали, наместо да се одржува постојана, непроменлива модификација на серверите.

Според проценките, кампањата погодила организации од широк спектар сектори, вклучувајќи ИТ-услуги, телекомуникации и високо образование, како и поврзани организации во Австралија, Бразил, Индија, Пакистан, Португалија, Сингапур, Јужна Африка, Шпанија, Швајцарија, Турција и САД.

Активен напад врз синџирот на снабдување

Во објава на X, Microsoft соопшти дека следи „активен напад врз синџирот на снабдување, при кој напаѓач компромитирал доверлива OAuth-апликација на услугата ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), порано позната како SkyKick Backup, со цел да добие токени за пристап до околините на клиентите“.

Технолошкиот гигант соопшти дека напаѓачот најверојатно ги злоупотребил дозволите што клиентите претходно ѝ ги доделиле на апликацијата, вклучувајќи и дозволи со високи привилегии, како што е Directory.ReadWrite.All.

„На 15 октомври 2026 година забележавме широка успешна автентикација на сервисниот принципал, која потекнуваше од IP-адресата 144.172.64[.]128“, се додава во соопштението. „Последователните активности вклучуваа извидување преку Microsoft Graph API и обиди за додавање дополнителни акредитиви на поврзаниот сервисен принципал во целните клиентски околини, со цел да се одржи директен пристап преку задна врата.“

Microsoft им препорачува на безбедносните тимови да ги проверат најавувањата на сервисните принципали од непознати IP-адреси, промените во акредитивите на апликациите и активностите поврзани со доделување OAuth-дозволи за претходно споменатиот OAuth AppId.

ConnectWise, во посебно безбедносно известување, потврди дека идентификувал неовластен пристап до идентитетите на апликациите во околината на ConnectWise Cloud Backup. Компанијата го исклучила пристапот на апликацијата Cloud Backup додека нејзините „истрага и активности за отстранување на проблемот продолжуваат“.

Подолу се наведени ID-броевите на апликациите што напаѓачот ги злоупотребил во рамките на оваа активност:

• ConnectWise Cloud Backup — 506e08f9-6e9a-4da4-942b-a099a03644ae
• ConnectWise Cloud Management — 2399d300-6fca-4e6a-a686-399fefe75b83
• ConnectWise Cloud Management – MS Teams — 24205314-2b89-4e07-a2a4-579e898a5640
• ConnectWise Cloud Management – Exchange Online — b78f6a77-d4e5-46fb-87e5-d1648bd02519
• ConnectWise Cloud Management – MS Graph — 0de14c77-b9b0-4137-9360-34878a929827
• ConnectWise Cloud Management – Partner Center — 412dcf96-176d-4b3a-a1b0-4981ad66971e
• ConnectWise Cloud Management – SharePoint Online — b2b55f5b-7758-4719-8d8f-88ae172e6bdb

„Кога станува збор за раната експлоатација и однесувањето по успешното пробивање, забележавме дека напаѓачите можеби покажуваат склоност кон избор на цели по азбучен ред (нашите најинтересни жртви започнуваат со буквата „А“)“, соопшти Huntress. „Иако сите клиенти треба внимателно да се проверат, сметаме дека е корисно да се сподели овој образец за да се одреди приоритетот на проверките.“

Извори:

• The Hacker News – Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants The Hacker News