ConnectWise heeft op zaterdag 17 oktober de toegang tot zijn Cloud Backup-dienst, voorheen bekend als SkyKick Cloud Backup, stilgelegd voor partners en klanten. Aanleiding was een inbraak waarbij aanvallers toegang kregen tot applicatie-identiteiten van de dienst en daarmee Microsoft 365-tenants van klanten binnendrongen. Microsoft bevestigt de kwaadaardige activiteit en meldt dat het al op 15 oktober ongeautoriseerde aanmeldpogingen zag vanaf één IP-adres.
Cloud Backup draait bij MSP’s en IT-afdelingen die er e-mail en bestanden in Microsoft 365 en Google Workspace mee beveiligen tegen dataverlies. Voor de koppeling met Microsoft 365 gebruikt de dienst rechten die via Microsoft Entra ID zijn toegekend aan een service principal, de applicatie-identiteit die de software vertegenwoordigt binnen de tenant van een klant.
Beveiligingsbedrijf Huntress herleidde de eerste geautomatiseerde aanmeldpogingen al naar 13 en 14 oktober, herkenbaar aan de user agent curl/7.88.1. Vanaf 15 oktober kwam de activiteit van één vast IP-adres, 144.172.64.128, nu met de user agents python-urllib/3.12 en python-requests. De aanvaller logde zich niet in als gebruiker, maar authenticeerde zich rechtstreeks als de backup-applicatie zelf, met het secret van die applicatie. Omdat er geen gebruikersaanmelding aan te pas kwam, bood multifactorauthenticatie geen enkele bescherming. De applicatie beschikte al langer over ruime rechten: het lezen en schrijven van e-mail en bijlagen, OneDrive- en SharePoint-bestanden en Teams-gesprekken.
Onderzoeksbureau Todyl zag bij negen onderzochte tenants alleen aanmeldactiviteit, zonder nieuwe accounts of gewijzigde wachtwoorden. Bij Huntress lag dat anders: op bijna vijftig gemonitorde tenants kenden ConnectWise-applicaties zichzelf extra directoryrollen toe, meestal Exchange Administrator. Bij één klant duurde het geen vijf minuten voordat de applicatie Cloud Management - MS Teams zichzelf de rol Global Administrator toekende en credentials toevoegde aan zowel een MSP-beheertool als aan Huntress’ eigen applicatie. Microsoft Threat Intelligence noemt het incident een actieve supply-chain-aanval en gaat ervan uit dat de aanvaller bestaande rechten misbruikte, waaronder Directory.ReadWrite.All. Het bedrijf zag persistentie via een backdoor na succesvolle aanmelding van de service principal, gevolgd door verkenning via de Microsoft Graph API en pogingen om nieuwe credentials toe te voegen. Waar Huntress begin van de week nog 162 getroffen tenants telde, staat de teller inmiddels op 173 Microsoft 365-omgevingen met vastgestelde ongeautoriseerde aanmeldingen.
ConnectWise bevestigde zaterdag dat het zeven applicatie-identiteiten heeft uitgeschakeld: naast Cloud Backup zelf gaat het om de gekoppelde Cloud Management-toepassingen voor Exchange Online, Microsoft Teams, Microsoft Graph, Partner Center en SharePoint Online. De gedeelde credentials van Cloud Backup werken niet meer, maar tokens die al waren uitgegeven kunnen geldig blijven totdat ze vanzelf verlopen. Uit voorzorg zijn ook SaaS Security en Cloud Management offline gehaald. ConnectWise zegt geen aanwijzingen te hebben dat back-updata van partners is ingezien; het bestaande archief blijft versleuteld en geïsoleerd. Het totale aantal getroffen klanten, de omvang van eventuele datadiefstal en hoe de aanvaller aan de leverancierscredentials kwam, maakt het bedrijf nog niet bekend.
Voor Nederlandse IT-afdelingen en MSP’s die Cloud Backup gebruiken is dit het moment om de service-principal-aanmeldingen in Entra na te lopen, gefilterd op de applicatie-ID van Cloud Backup, en te controleren op onverwachte herkomstadressen. Schakel de betrokken ConnectWise-apps uit als dat nog niet is gebeurd en controleer applicatie-credentials op toevoegingen sinds 13 oktober. Houd er rekening mee dat het uitschakelen van een app wel nieuwe tokens stopt, maar dat al uitgegeven tokens geldig blijven tot hun vervaldatum: het intrekken van gebruikerssessies verandert daar niets aan, omdat de toegang via de applicatie loopt en niet via een ingelogde gebruiker.
Bron: The Hacker News, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u ConnectWise Cloud Backup (voorheen SkyKick) voor Microsoft 365-back-ups? Loop in Entra de aanmeldingen van de service principal na, gefilterd op applicatie-ID 506e08f9-6e9a-4da4-942b-a099a03644ae, schakel de zeven genoemde ConnectWise-identiteiten uit als dat nog niet is gebeurd en controleer op nieuw toegevoegde applicatie-credentials sinds 13 oktober.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.