Een grootschalige cyberaanval heeft sinds vrijdag 14 oktober 2022 geleid tot de compromittering van honderden Microsoft 365-tenants, voornamelijk van klanten van ConnectWise Cloud Backup. Tegen zaterdagavond 15 oktober 2022 was er aanmeldingsactiviteit waargenomen vanaf kwaadaardige infrastructuur in bijna 1.000 tenants, waarvan meer dan 300 succesvol leken. Microsoft Threat Intelligence observeerde brede succesvolle aanmeldingen vanaf een kwaadaardig IP-adres.

De aanvallen werden uitgevoerd door een dreigingsactor die gebruikmaakte van een gevoelig inloggegeven. Dit inloggegeven stelde de aanvaller in staat een reeks Microsoft 365-applicaties van ConnectWise Cloud Backup-klanten te compromitteren, waaronder Exchange Online, Microsoft Teams, SharePoint Online, Cloud Backup, MS Graph en Partner Center. De aanmeldingen, uitgevoerd door een geautomatiseerd hulpmiddel, gaven de aanvaller de technische mogelijkheid om e-mails en bestanden te lezen en te schrijven in diverse Microsoft 365-applicaties.

Het betreft een multi-tenant applicatie, wat betekent dat iedereen die dit inloggegeven bezit, toegangstokens kan aanvragen in elke tenant waar de applicatie is geïnstalleerd, zonder dat hier actie van de klant voor nodig is. De zeer bevoorrechte toegang, verleend door het inloggegeven voor ConnectWise Cloud Backup, stelde aanvallers in staat beveiligingscontroles, waaronder meervoudige authenticatie, te omzeilen en aanvullende toegang te verkrijgen.

In de tenants waar post-compromisactiviteit werd waargenomen, verhoogde het aan de applicatie gekoppelde account zijn eigen privileges en voegde nieuwe inloggegevens toe aan andere applicaties in de tenant. Dit zou toegang kunnen behouden, zelfs nadat de oorspronkelijke applicatie was uitgeschakeld. Vervolgactiviteiten omvatten verkenning van de Microsoft Graph API en pogingen om extra inloggegevens toe te voegen aan de gerelateerde serviceprincipal in doel-tenants om toegang als backdoor te behouden.

ConnectWise, dat voornamelijk kleine tot middelgrote bedrijven ondersteunt, heeft ongeautoriseerde aanmeldingen bevestigd in 162 tenants en stelt dat er waarschijnlijk meer compromissen zijn buiten hun telemetrie. Een deel van de klanten heeft dagenlang geen toegang tot de diensten en honderden zijn gecompromitteerd.

ConnectWise heeft zijn Cloud Backup, SaaS Security en Cloud Management services ongeveer twee dagen na het observeren van de eerste golf van ongeautoriseerde aanmeldingen opgeschort. Sinds de mitigerende maatregelen op 17 oktober 2022 om 05:00 UTC zijn gestart, zijn er geen succesvolle dreigingsactiviteiten meer waargenomen in de gemonitorde omgevingen.

ConnectWise onderzoekt en herstelt ongeautoriseerde toegang tot applicatie-identiteiten die geassocieerd zijn met ConnectWise Cloud Backup. De inspanningen om de Cloud Backup-service te herstellen lopen nog, maar er is geen tijdlijn verstrekt voor wanneer klanten weer toegang kunnen krijgen.

Onderzoekers van Huntress en Todyl, die hun eigen onderzoek hebben uitgevoerd, kenmerkten het inloggegeven en de commandostructuur als kritiek. ConnectWise en onderzoekers hebben de aanvallen niet toegeschreven aan bekende dreigingsactoren en niemand heeft publiekelijk verantwoordelijkheid opgeëist. De hoofdoorzaak van de inbreuk en de nasleep ervan wordt nog onderzocht. ConnectWise en onderzoekers deelden indicatoren van compromis om potentieel getroffen klanten te helpen bij het opsporen van kwaadaardige activiteiten in hun systemen. Klanten wordt aangeraden om getroffen applicaties uit te schakelen, zelfs als ze geen ongebruikelijke zaken in hun logs zien.