Un attacco informatico ha sfruttato credenziali compromesse di ConnectWise Cloud Backup per accedere ad ambienti Microsoft 365 di clienti. L'incidente ha portato all'interruzione dei servizi di backup e a un'indagine su accessi non autorizzati.
Un incidente di sicurezza ha colpito i clienti di ConnectWise, un fornitore di soluzioni per la gestione dei servizi gestiti (MSP). Attaccanti sono riusciti a compromettere le credenziali dell'applicazione ConnectWise Cloud Backup, precedentemente nota come SkyKick, ottenendo così accessi non autorizzati a numerosi ambienti Microsoft 365. L'azienda ha confermato che, al 16 ottobre, sono stati rilevati accessi non autorizzati in 162 tenant.
L'applicazione ConnectWise Cloud Backup, utilizzata da MSP per eseguire backup e recupero dati per servizi Microsoft 365 come Exchange Online, OneDrive, SharePoint e Teams, richiede ampi permessi per poter operare efficacemente. Secondo le analisi condotte dal ricercatore Jonathan Semon di Huntress, gli aggressori avrebbero sfruttato le credenziali rubate per autenticarsi come l'applicazione fidata, ereditando così i permessi già approvati all'interno di ciascun tenant. Questo meccanismo ha permesso loro di ottenere token Microsoft Graph da un indirizzo IP specifico, suggerendo un'operazione automatizzata e mirata.
L'attacco sembra essere avvenuto tra le 06:13 e le 08:34 UTC del 15 ottobre. La progressione degli accessi tra i tenant, avvenuta a distanza di pochi secondi e in ordine di identificatore, indica un'attività automatizzata. La gravità della situazione è acuita dal fatto che l'esposizione non si limita ai clienti direttamente colpiti, ma potrebbe estendersi a tutte le organizzazioni che hanno concesso i permessi all'applicazione compromessa.
In seguito alla scoperta dell'intrusione, ConnectWise ha prontamente disattivato l'accesso all'applicazione interessata, causando un'interruzione dei servizi di backup per i propri clienti. L'azienda ha tuttavia rassicurato che non vi sono indicazioni di compromissione dei dati di backup archiviati e che gli archivi esistenti rimangono intatti. L'interruzione dei servizi, sebbene operativa, non implica la perdita dei dati di backup.
Un aspetto preoccupante emerso dalle indagini riguarda la possibilità di persistenza degli attaccanti. In un tenant analizzato da Huntress, è stata osservata un'altra applicazione ConnectWise, denominata Cloud Management – MS Teams, che ha acquisito autonomamente privilegi di Global Administrator. Successivamente, ha aggiunto segreti client (client secrets) a due altre applicazioni, tra cui una piattaforma di gestione MSP e un'applicazione specifica di Huntress. Questi segreti, configurati per scadere nel 2028, potrebbero consentire agli attaccanti di mantenere l'accesso anche dopo il ripristino delle credenziali originali.
Huntress ha fornito raccomandazioni specifiche per mitigare i rischi. Si consiglia di disabilitare, anziché eliminare, le applicazioni ConnectWise Cloud Backup (ID: 506e08f9-6e9a-4da4-942b-a099a03644ae) e Cloud Management – MS Teams (ID: 24205314-2b89-4e07-a2a4-579e898a5640). È inoltre opportuno effettuare una revisione generale delle altre applicazioni ConnectWise in uso.
Gli amministratori di sistema dovrebbero monitorare attentamente i log di accesso ai servizi di Microsoft Entra ID (precedentemente Azure AD) per individuare autenticazioni sospette, inclusi accessi dall'indirizzo IP 144.172.64.128. È fondamentale verificare l'assegnazione di ruoli amministrativi inattesi e qualsiasi modifica non autorizzata alle applicazioni.
È importante sottolineare che la semplice disabilitazione delle applicazioni compromesse potrebbe non essere sufficiente a rimuovere eventuali segreti o credenziali inserite altrove. Le organizzazioni devono quindi procedere con una verifica approfondita dei segreti client e dei certificati associati alle registrazioni delle applicazioni e alle applicazioni enterprise. Qualsiasi credenziale non autorizzata aggiunta dopo il 13 ottobre deve essere rimossa, e i privilegi inattesi revocati.
ConnectWise sta lavorando al ripristino delle credenziali e al ripristino dei servizi. Fino a quando l'azienda non confermerà il completamento di queste operazioni, le applicazioni interessate dovrebbero rimanere disabilitate. La gestione dell'interruzione dei servizi di backup richiede una pianificazione operativa attenta, ma i backup esistenti sono al sicuro.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
