ConnectWise отключила доступ клиентов к своему сервису облачного резервного копирования (SkyKick Cloud Backup) после того, как хакеры получили доступ к учетным данным приложений и взломали учетные записи Microsoft 365. Облачные решения ConnectWise обеспечивают резервное копирование и восстановление, помогая поставщикам MSP и ИТ-командам защищать данные клиентов, включая электронную почту и файлы, в облачных средах, в том числе Microsoft 365 и Google Workspace. Для резервного копирования Microsoft 365 служба использует разрешения, предоставленные через Microsoft Entra ID. Как сообщает ConnectWise, на данный момент у нее нет никаких признаков того, что данные резервных копий партнеров Cloud Backup были скомпрометированы. Существующий архив не затронут этим сбоем в работе сервиса и будет доступен после восстановления работы сервисов. Однако компания начала расследование и занимается устранением последствий. Сообщения о вредоносной активности начали появляться в пятницу, когда администраторы обнаружили несанкционированный доступ к данным клиентов в учетных записях Microsoft 365 из-за потенциальной утечки данных через SkyKick/CW. Позже в тот же день Huntress подтвердила опасения, заявляя о выявлении как минимум 162 скомпрометированных клиента в своей среде. В своем уведомлении Microsoft также подтвердила наличие вредоносной активности в сервисе облачного резервного копирования ConnectWise, отмечая, что 15 октября были выявлены несанкционированные попытки аутентификации с определенного IP 144.172.64[.]128. Как сообщают в Huntress, почти в 50 отслеживаемых ею клиентах субъекты служб для «приложений облачного управления ConnectWise (Exchange Online, Microsoft Teams и Microsoft Graph) назначали себе роли в каталоге, в основном, роль администратора Exchange. В одном из помещений, где проживал злоумышленник, исследователи Huntress также заметили, что он обеспечил себе постоянное присутствие в системе, и операция заняла около пяти минут. Microsoft также зафиксировала активность по сохранению учетной записи через бэкдор после успешной аутентификации субъекта службы, за которой последовали «разведка с использованием API Microsoft Graph и попытки добавить дополнительные учетные данные. Microsoft Threat Intelligence охарактеризовала инцидент как активную атаку на цепочку поставок, предположив, что злоумышленник, вероятно, злоупотребил существующими правами доступа, включая Directory.ReadWrite.All. ConnectWise рекомендует администраторам проверить учетные записи субъектов служб в Entra, отфильтровать данные по идентификатору приложения Cloud Backup и изучить неожиданные адреса источников. Microsoft также рекомендует проверить изменения учетных данных приложений, предоставление прав OAuth и связанную с этим активность в Graph API. Huntress советует администраторам отключить задействованные приложения ConnectWise, а также проверить учетные данные приложений на предмет несанкционированного добавления и пересмотреть другие интеграции с системами управления облаком. Закрытие сервиса поставщиком не удаляет учетные данные, уже внедренные в учетные записи клиентов. Huntress утверждает, что администраторам следует проверить секреты и сертификаты во всех приложениях на предмет несанкционированных добавлений с 13 октября и удалить эти записи. На текущий момент точное число жертв и масштабы кражи данных остаются неясными, как и метод, использованный злоумышленником для получения учетных данных поставщика.