ConnectWise a suspendu son service Cloud Backup et plusieurs intégrations de plateformes associées après qu’une attaque active contre la chaîne d’approvisionnement a permis à des acteurs malveillants non identifiés de compromettre des locataires (« tenants ») Microsoft 365 de clients et de partenaires à l’aide d’identifiants d’applications de fournisseurs dérobés.
La suspension des services ConnectWise et l’impact sur les locataires Microsoft 365
L’éditeur de logiciels de gestion informatique ConnectWise a arrêté l’accès des clients à son service de sauvegarde dans le nuage, anciennement connu sous le nom de SkyKick Cloud Backup. Cette décision radicale fait suite à la découverte d’activités malveillantes exploitant des identités d’application pour s’infiltrer dans les environnements Microsoft 365.
Les perturbations s’étendent bien au-delà des simples archives de sauvegarde. De plus, la surveillance et les alertes de sécurité SaaS ainsi que les fonctions de gestion des utilisateurs et des licences pour Cloud Management ont été coupées de manière préventive.
Microsoft Threat Intelligence is tracking an active supply chain attack in which a threat actor compromised the trusted OAuth App of the backup application ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), formerly SkyKick Backup, to obtain access tokens… pic.twitter.com/5FF8H30jaX
L’analyse de Huntress et les techniques des pirates informatiques
La plateforme de cybersécurité Huntress a rapidement confirmé l’ampleur du problème, identifiant initialement au moins 162 locataires compromis dans son environnement de surveillance, un chiffre qui a ensuite grimpé à 173. Jon Semon, analyste principal des opérations de sécurité chez Huntress, a souligné que les applications de l’écosystème étaient activement ciblées par des vagues successives d’attaques.
L’activité malveillante s’est manifestée par une double vague de tentatives ciblées. Jon Semon, principal security operations analyst chez Huntress, a indiqué à The Hacker News avoir relevé de derniers signes de connexions suspectes provenant de l’adresse IP d’origine le 15 octobre à 08:45 UTC, avec une activité manuelle et ciblée qui s’est poursuivie jusqu’aux environs de 14:20 UTC ce jour-là.
Les investigations techniques ont permis d’identifier une adresse IP unique, à savoir 144.172.64[.]128, relevée également par Microsoft et d’autres acteurs du secteur. Microsoft a précisé avoir détecté des authentifications principales directes et massives le jeudi depuis ce même point d’origine, accompagnées d’activités de reconnaissance via l’API Microsoft Graph et de tentatives d’ajout de nouveaux identifiants.
D’après les observations relayées par The Hacker News, l’attaque repose sur l’utilisation abusive des informations d’identification d’une application de sauvegarde, permettant aux pirates de contourner les mots de passe individuels et l’authentification multifacteur. En se faisant passer pour l’application de confiance, les acteurs malveillants ont pu demander des jetons d’accès via Microsoft Entra ID en s’appuyant sur les permissions déjà accordées par les clients.
Huntress a indiqué selon The Hacker News que ConnectWise a affirmé que l’accès à Cloud Backup est coupé, et que le cas échéant, l’activité via ce service aurait dû cesser. Cependant, si l’acteur malveillant a pu ajouter des identifiants aux applications dans les locataires Microsoft, ces identifiants lui permettraient de conserver l’accès et d’agir en tant qu’application.
La réponse de l’éditeur et les recommandations pour la remédiation
Face à cette situation, l’entreprise a révoqué les certificats utilisés pour les connexions des applications concernées afin de bloquer tout nouvel accès. ConnectWise a indiqué qu’aucun jeton ou identifiant partagé précédemment ne restait valide. L’éditeur a également publié la liste de sept identités d’application désactivées, incluant Cloud Backup et différents modules Cloud Management pour Exchange Online, Microsoft Teams, MS Graph, Partner Center et SharePoint Online.
Les équipes de sécurité rappellent toutefois que la désactivation des connexions d’origine ne supprime pas les accès secondaires ou les rallonges de privilèges déjà établis au sein des locataires.
L’enquête en cours et les zones d’ombre sur l’attribution
Pour l’instant, les investigations se poursuivent conjointement avec les analyses de Microsoft Threat Intelligence. Jason Ferguson a affirmé par l’intermédiaire de communiqués que les archives existantes demeurent cryptées, isolées et préservées, sans preuve formelle d’accès non autorisé aux données de sauvegarde proprement dites.
Aucun calendrier précis de rétablissement n’a encore été communiqué par la société, l’ensemble des efforts restant concentré sur la validation de la sécurité des infrastructures et l’accompagnement des prestataires de services gérés touchés par cet incident.