Учётные данные ConnectWise использовали для доступа к тенантам Microsoft 365

Утёкшие учётные данные API Microsoft 365 приложения ConnectWise Cloud Backup, ранее SkyKick, использовали для доступа к корпоративным тенантам Microsoft 365 клиентов. Huntress позднее подтвердила несанкционированные входы в 162 тенантах.

Приложение имело широкие разрешения для Exchange Online, OneDrive, SharePoint, Teams и данных каталога. Начиная с 15 октября скомпрометированные учётные данные применяли для получения токенов доступа Microsoft Graph с IP-адреса 144.172.64.128, принадлежащего хостинг-провайдеру. Активность фиксировалась с 06:13 до 08:34 UTC, а тенанты обрабатывались в порядке сортировки GUID. Её обнаружили как минимум в 17 из примерно 290 проверенных тенантов.

Приложение резервного копирования идентифицировали по ID 506e08f9-6e9a-4da4-942b-a099a03644ae. В одном из тенантов также обнаружили отдельное приложение ConnectWise Cloud Management — MS Teams с ID 24205314-2b89-4e07-a2a4-579e898a5640. Оно предоставило себе роль Global Administrator, а затем изменило два других приложения, в том числе приложение Huntress и приложение для управления MSP. В них добавили клиентские секреты со сроком действия до 2028 года. Добавить сертификат не удалось из-за несовпадения отпечатка.

Изменения связывали с пользовательским агентом Python-urllib/3.12. При обычной активности приложения ConnectWise использовался kiota-dotnet. Ранее с того же внешнего IP-адреса проводили распыление паролей и запрашивали токены OAuth, используя curl/7.88.1.

Авторы отчёта рекомендуют проверять журналы аудита Entra на наличие событий:

• Add member to role;
• Update application;
• Add service principal credentials.

Расследователям рекомендуют искать случаи, когда служебные субъекты назначают себе роли каталога или изменяют другие приложения. При анализе следует проверять инициирующее приложение, объект воздействия, результат, исходный адрес и строку User-Agent. Чтение данных каталога через Microsoft Graph может не создавать соответствующих записей в журнале аудита, поэтому отсутствие записей о доступе не исключает компрометацию.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.