if ( !emtpy($headline_subheadline ) ) : ?>
L’incident impliquait une authentification d’application non autorisée et une élévation de privilèges, entraînant des suspensions de services pendant que ConnectWise enquêtait sur la portée de l’activité.
endif; ?>
ConnectWise a désactivé les services cloud clés et enquête sur les accès non autorisés aux environnements Microsoft 365 des clients après qu’un identifiant lié à sa plateforme de sauvegarde dans le cloud ait été compromis et utilisé pour s’authentifier auprès des clients, ce qui a incité Huntress à identifier les connexions suspectes dans 162 organisations.
L’activité impliquait que l’application Cloud Backup obtienne des jetons d’accès Microsoft Graph à l’aide d’un identifiant associé au propre locataire de ConnectWise. La société de sécurité Huntress a également confirmé des connexions non autorisées chez 162 locataires à 19h00 UTC le 16 octobre.
Huntress a déclaré que l’application s’était authentifiée à partir de l’adresse IP 144.172.64(.)128 le 15 octobre, entre 06h13 et 08h34 UTC. L’adresse appartenait à un fournisseur d’hébergement, plutôt qu’à l’espace IP privé Azure à partir duquel l’application communiquait normalement. Les événements d’authentification ont été enregistrés dans les journaux de connexion de Microsoft.
ConnectWise a reconnu l’activité et a désactivé sept identités d’application le 17 octobre. Il a également suspendu la sauvegarde dans le cloud, ainsi que la sécurité SaaS et la gestion du cloud. Microsoft n’a pas immédiatement répondu à une demande de commentaire.
La société a mis à jour son avis le 19 octobre et a déclaré qu’elle n’avait pas observé d’activité de menace réussie dans les environnements qu’elle surveille depuis la mise en œuvre des mesures de confinement, mais qu’elle n’avait pas encore établi de calendrier pour restaurer les services.
« Les archives de sauvegarde existantes restent cryptées et isolées, et nous n’avons aucune indication que ces archives ont été compromises », a noté ConnectWise. La mise à jour de l’avis du 19 octobre comprenait deux adresses IP supplémentaires, 144.172.64(.)99 et 144.172.64(.)60, identifiées grâce à la surveillance de sécurité en aval.
Identifiants d’intégration utilisés pour élever l’accès
ConnectWise Cloud Backup nécessite des autorisations étendues pour sauvegarder et restaurer les données des clients sur les services Microsoft 365, notamment Exchange Online, OneDrive, SharePoint et Teams. Huntress a déclaré que les informations d’identification compromises permettaient à l’application d’obtenir des jetons Microsoft Graph chez les clients sans qu’un utilisateur individuel se connecte.
Cette authentification basée sur l’application n’implique pas de mot de passe utilisateur et ne déclenche pas l’invite d’authentification multifacteur (MFA) associée à une connexion habituelle. Les informations d’identification résident dans le propre environnement du fournisseur, ce qui signifie que les clients n’ont pas pu les générer via l’activité de leurs locataires individuels.
Huntress a également identifié une activité impliquant une deuxième application ConnectWise, Cloud Management for Microsoft Teams, chez un locataire partenaire. Selon la société de sécurité, l’application s’est attribuée le rôle d’administrateur global et a ajouté des informations d’identification à deux autres applications, dont une application Huntress spécifique à ce partenaire.
La séquence a duré environ cinq minutes, a déclaré Huntress, ajoutant qu’il n’avait pas été établi si les différentes étapes de l’activité étaient menées par le même opérateur.
Les suspensions de service font gagner du temps, mais des contrôles au niveau des locataires restent nécessaires
ConnectWise a désactivé les sept identités d’application et révoqué les certificats associés aux connexions d’application concernées. La société a déclaré que ces actions empêchent une nouvelle authentification via les connexions désactivées, mais n’annulent pas automatiquement les modifications déjà apportées au sein des locataires clients.
Les jetons d’accès précédemment émis peuvent également rester utilisables jusqu’à leur expiration ou leur invalidation, ajoute-t-il.
L’interruption du service s’étend au-delà des sauvegardes. Avec la suspension de Cloud Backup, les sauvegardes planifiées, l’accès aux archives concernées et les capacités de restauration restent indisponibles. La surveillance et les alertes de sécurité SaaS, ainsi que les fonctions de gestion des utilisateurs et des licences de Cloud Management, ont également été mises hors ligne pendant que les mesures correctives se poursuivent.
Huntress a déclaré que son enquête n’avait pas confirmé le vol de données. Chez le locataire dont elle a examiné les journaux d’audit en détail, l’entreprise n’a trouvé aucun accès enregistré au courrier ou aux fichiers, mais a averti que cela ne prouvait pas qu’aucune donnée n’avait été saisie. Certaines lectures du répertoire Microsoft Graph ne laissent pas de piste d’audit, ce qui limite ce que les enquêteurs peuvent établir à partir des enregistrements disponibles, a-t-il noté.
Les deux sociétés ont exhorté leurs partenaires et les administrateurs clients à revoir leurs environnements Microsoft 365. Les conseils de ConnectWise appellent à vérifier les connexions aux applications, les informations d’identification, les rôles d’annuaire, les autorisations, les modifications de politique et les éventuels transferts de boîtes aux lettres ou autres mécanismes de persistance.
Il a également été conseillé aux partenaires ConnectWise de maintenir les applications concernées désactivées jusqu’à ce qu’ils fournissent des instructions formelles de restauration. Au 19 octobre, les efforts d’enquête et de rétablissement du service se poursuivaient.
