Злоумышленник выдал себя за приложение ConnectWise Cloud Backup и запросил данные клиентов Microsoft 365

Схема работы сервиса объясняет масштаб события. Продукт построен на многоарендаторном приложении в каталоге Microsoft Entra: при включении резервного копирования организация даёт согласие на это приложение в своём арендаторе. С этого момента удостоверение поставщика может запрашивать маркеры доступа к почте, файлам и календарям, чтобы копировать их в хранилище. По данным Sophos X-Ops, выданный приложению маркер действует в каждом арендаторе, где согласие уже получено. Одна скомпрометированная учётная запись приложения открывает путь ко всей клиентской базе. Именно поэтому происходящее описывают как злоупотребление учётными данными поставщика, а не как взлом отдельного клиента.

Хронологию восстановили по журналам регистрации. Первый запрос пришёл в 07:11 по UTC, последний зафиксирован в 08:47. Обращения поступали с одного сетевого адреса и от одного инструмента, что говорит о скрипте, а не о работе человека за клавиатурой. Скрипт перебирал арендаторов в строго возрастающем порядке их идентификаторов. Паузы между запросами составляли от одной до шести минут. В перечень попали и организации без действующей подписки на резервное копирование. Следовательно, злоумышленник опирался на полный список арендаторов, когда-либо согласовавших приложение, включая бывших клиентов.

ConnectWise выпустила предупреждение, а также руководство по техническому разбору и устранению последствий. Защитной мерой стало отключение доступа к Cloud Backup для партнёров и заказчиков. Следов ручного вмешательства внутри проверенных арендаторов не обнаружено. Нет и свидетельств того, что приложение создавало новые секреты, регистрировало другие программы, добавляло согласия или назначало роли. Характер входов тоже важен: сервисные субъекты, то есть учётные записи приложений, не связаны с конкретным сотрудником, поэтому пароль и второй фактор к ним неприменимы.

Тем, кто пользуется сервисом или пользовался им раньше, предстоит проверить список корпоративных приложений в Entra. Согласие у тех программ, которые ConnectWise отключила, лучше отозвать. Журналы входов за 15-17 октября просматривают отдельно по сервисным субъектам, ориентируясь на признаки описанной активности. Затем проверяют журналы аудита: не появились ли с 13 октября новые учётные данные, секреты, регистрации приложений, согласия и назначения ролей. Для арендаторов с активным резервным копированием запрашивают журналы Microsoft Graph, если они сохранились: по ним видно, как использовались выданные маркеры. Кроме того, в перечень входит ротация учётных данных по инструкции поставщика.

Основной риск связан с доверием, которое организация выдаёт приложению один раз и на длительный срок. Пока согласие действует, ключ программы даёт доступ к данным без участия человека. Отзыв согласия и смена секретов остаются главными мерами защиты. Установить, читали ли данные при помощи полученных маркеров, можно только по журналам Graph: там сохраняются сведения об обращениях к почте, файлам и календарям.