In questo articolo Indice dei contenuti 2 sezioni
Un attacco supply chain ha colpito ConnectWise e, attraverso il suo servizio Cloud Backup, ha aperto agli hacker la strada verso numerosi tenant Microsoft 365. L’azienda ha bloccato l’accesso dei clienti alla piattaforma, conosciuta in passato come SkyKick Cloud Backup, dopo aver scoperto che gli aggressori erano riusciti a impossessarsi delle identità applicative usate dal servizio.
I primi segnali sono arrivati venerdì. Diversi amministratori hanno notato accessi non autorizzati ai dati dei clienti ospitati su Microsoft 365 e hanno ipotizzato una violazione legata a SkyKick e ConnectWise. Nello stesso giorno Huntress, piattaforma di sicurezza gestita e rilevamento delle minacce, ha confermato i sospetti parlando di almeno 162 tenant compromessi nel proprio ambiente. Anche Microsoft ha poi riconosciuto l’attività malevola, segnalando tentativi di autenticazione non autorizzati partiti da un indirizzo IP il 15 ottobre.
Come funzionava l’accesso e cosa potevano fare gli attaccanti
Le soluzioni di backup di ConnectWise servono ai fornitori di servizi gestiti (MSP) e ai reparti IT per proteggere e ripristinare posta e file in ambienti come Microsoft 365 e Google Workspace. Per Microsoft 365 il servizio si appoggia ai permessi concessi tramite Microsoft Entra ID, grazie a un’identità applicativa chiamata service principal che rappresenta il software all’interno del tenant del cliente.
Secondo i ricercatori di Todyl, l’aggressore si è autenticato direttamente come applicazione di backup usando la sua chiave segreta, ereditando così tutti i permessi già concessi dai clienti. Gli accessi venivano eseguiti da uno script automatico e, non trattandosi di un login utente, l’autenticazione a più fattori non poteva fermarli. In pratica l’attaccante aveva la possibilità tecnica di leggere e scrivere posta e allegati, file su OneDrive e SharePoint e chat di Teams. Nelle intrusioni analizzate su nove tenant, però, Todyl ha trovato solo attività di accesso, senza prove di account creati, password cambiate o permessi aggiunti.
Il quadro osservato da Huntress è più preoccupante. Su quasi 50 tenant monitorati i service principal delle app Cloud Management di ConnectWise (Exchange Online, Microsoft Teams e Microsoft Graph) si sono assegnati ruoli di directory, soprattutto quello di Exchange Administrator. In un caso l’intruso ha ottenuto la persistenza in circa cinque minuti: l’app dedicata a Teams si è attribuita il ruolo di Global Administrator e ha aggiunto credenziali a uno strumento di gestione MSP e alla stessa applicazione di Huntress. Microsoft ha rilevato a sua volta una backdoor, seguita da attività di ricognizione tramite Graph API e da tentativi di aggiungere altre credenziali.
Microsoft Threat Intelligence ha definito l’episodio un attacco supply chain attivo, probabilmente basato sull’abuso di permessi esistenti come Directory.ReadWrite.All. Tutte e tre le società di sicurezza hanno ricondotto l’attività allo stesso indirizzo, 144.172.64.128, collegato secondo Huntress anche a tentativi di accesso automatizzati già il 13 e il 14 ottobre.
Le contromisure consigliate e lo stato del servizio
ConnectWise invita gli amministratori a controllare gli accessi dei service principal in Entra, filtrando per l’identificativo dell’applicazione Cloud Backup e cercando indirizzi di origine inattesi. Microsoft suggerisce di verificare modifiche alle credenziali delle applicazioni, autorizzazioni OAuth e attività Graph correlate. Huntress consiglia invece di disattivare le applicazioni ConnectWise coinvolte e di esaminare segreti e certificati di tutte le app alla ricerca di aggiunte non autorizzate dal 13 ottobre in poi, eliminandole. Nei tenant più datati le app Cloud Management possono comparire con il nome SkyKick Cloud Manager.
Lo stop deciso dal fornitore, infatti, non rimuove le credenziali già piazzate nei tenant. Todyl avverte che disattivare un’applicazione impedisce l’emissione di nuovi token, ma quelli esistenti restano validi fino alla scadenza, e revocare le sessioni degli utenti non interrompe l’accesso basato sulle applicazioni.
Non sono ancora chiari il numero delle vittime, l’entità dei dati sottratti e il modo in cui l’attaccante ha ottenuto le credenziali del fornitore. ConnectWise sostiene di non avere indizi di compromissione dei backup dei partner. Nell’aggiornamento del 18 ottobre l’azienda ha spiegato che i backup programmati sono fermi e che archivi e funzioni di ripristino restano inaccessibili, pur rimanendo cifrati e isolati. Per precauzione sono offline anche SaaS Security e Cloud Management, quindi monitoraggio e gestione delle licenze non sono disponibili, una scelta che secondo la società non va letta come prova di una compromissione degli ambienti dei clienti. Le sette identità applicative di Cloud Backup sono state disattivate e le credenziali condivise non sono più valide, anche se i token già emessi potrebbero funzionare fino alla loro scadenza.
Fonte: TecnoAndroid