Onbekende aanvallers gebruiken een gecompromitteerde ConnectWise Cloud Backup-credential om ongeautoriseerd in te loggen bij 173 Microsoft 365-omgevingen.
Cybersecurityonderzoekers waarschuwen voor een actieve campagne waarbij onbekende dreigingsactoren een gecompromitteerde Microsoft 365-credential van ConnectWise Cloud Backup misbruiken om ongeautoriseerde toegang te verkrijgen tot klantenomgevingen binnen Microsoft 365 (M365). ConnectWise Cloud Backup is een cloudgebaseerde back-up- en herstelservice voor managed service providers (MSP's) die toegang heeft tot mailboxes, OneDrive, SharePoint, Teams en directorygegevens in elke tenant waar de applicatie is geïnstalleerd.
Volgens Huntress zijn er bevestigde ongeautoriseerde aanmeldingen waargenomen in 173 partner- en klanttenants met behulp van de gecompromitteerde vendor-credential. Dit incident treft alle organisaties die de app geïnstalleerd hebben, omdat de credential werkt voor elke tenant waar de app toestemming heeft. Onderzoeker Jonathan Semon meldde dat de credential op 15 oktober werd gebruikt om Microsoft Graph-tokens te verkrijgen vanuit een specifiek IP-adres, waarbij de aanvaller systematisch tenants afging met een script op basis van een doelwitlijst.
De aanvaller authenticeert zich met eigen tooling, vergelijkbaar met de back-upservice, en verkrijgt tokens met de bestaande app-machtigingen. Hierdoor kan de aanvaller mailboxen, bestanden en directorygegevens uitlezen die de back-upservice ook kan benaderen. Huntress constateerde dat hetzelfde IP-adres ook pogingen tot wachtwoord spraying uitvoerde tegen vier advocatenkantoren, zonder succesvolle aanmeldingen.
In ten minste één partnertenant ontdekte Huntress dat een aparte ConnectWise-app zichzelf Global Administrator-rechten gaf en credentials toevoegde aan andere vertrouwde applicaties, wat de risico’s uitbreidt naar andere geprivilegieerde apps binnen klantomgevingen. Semon lichtte toe dat de ConnectWise Cloud Management-app voor Microsoft Teams zichzelf aan de Global Administrator-rol toevoegde en een Python-script uitvoerde dat nieuwe client secrets toevoegde aan een MSP-beheerapplicatie en de beveiligingstool van Huntress.
Volgens Todyl werd een onbevoegde partij gedetecteerd die zich authenticieerde bij Microsoft Graph als de ConnectWise Cloud Backup-applicatie, waarbij de toegang de bestaande toestemmingen erfde. Dit omvat lees- en schrijfrechten op mail, bijlagen, OneDrive, SharePoint en Teams-chats, inclusief herstelmogelijkheden. Het intrekken van gebruikerssessies beëindigt deze toegang niet; het uitschakelen van de app stopt alleen het uitgeven van nieuwe tokens, terwijl reeds uitgegeven tokens tot 90 minuten geldig blijven. Zolang de app actief is in een tenant, blijft deze kwetsbaar totdat ConnectWise de credential roteert.
Als reactie op het incident heeft ConnectWise de toegang van de Cloud Backup-applicatie tijdelijk gesloten volgens hun advisory.
