ConnectWise legt Cloud Backup stil na inbraak op Microsoft 365-tenants

ConnectWise heeft zijn Cloud Backup-dienst, tot voor kort bekend als SkyKick, volledig stilgelegd nadat aanvallers de applicatie-identiteiten van die dienst in handen kregen. Via die identiteiten konden ze bij Microsoft 365-tenants van klanten. Het bedrijf publiceerde in de nacht van zaterdag op zondag een nieuwe update in zijn Trust Center, om 01:00 UTC.

Een leverancier als sleutel tot duizenden tenants

Cloud Backup maakt back-ups van Microsoft 365- en Google Workspace-data voor managed service providers. Om bij de mailboxen en bestanden van een klant te kunnen, krijgt de software via Entra ID een eigen identiteit in de tenant: een service principal. Die identiteit heeft de rechten die de klant ooit heeft goedgekeurd.

Precies daar zat het probleem. Volgens onderzoek van Todyl logde de aanvaller rechtstreeks in op Microsoft Graph als de back-upapplicatie, met het gedeelde geheim van die applicatie. De toegang die daarbij hoorde, was ruim: lezen en schrijven in mail en bijlagen, bestanden in OneDrive en SharePoint, en Teams-chats.

Todyl zag dat de tenants in strikt oplopende volgorde van hun tenant-GUID werden afgelopen, met tussenpozen van één tot zes minuten. Dat wijst op een script dat een gesorteerde lijst van alle tenants afwerkt die de app ooit toestemming hebben gegeven. Microsoft Threat Intelligence noemt het een actieve supply chain-aanval en gaat ervan uit dat de aanvaller bestaande permissies misbruikte, waaronder Directory.ReadWrite.All.

Waarom MFA hier niet hielp

Bij deze aanmeldingen kwam geen gebruiker te pas. Het was de applicatie zelf die zich aanmeldde met haar eigen geheim, en daar grijpt multifactorauthenticatie niet op in. In de logs van Todyl staat bij Conditional Access dan ook notApplied.

Dat heeft twee vervelende gevolgen voor de opruiming. Het intrekken van gebruikerssessies beëindigt deze toegang niet, want er is geen gebruikerssessie. En het uitzetten van de applicatie stopt alleen de uitgifte van nieuwe tokens: al uitgegeven tokens blijven volgens Todyl tot negentig minuten geldig.

Wat er daadwerkelijk is gebeurd in tenants

Huntress meldt minstens 162 gecompromitteerde tenants binnen zijn eigen klantenbestand. Bij bijna vijftig daarvan kenden service principals van ConnectWise Cloud Management zichzelf directory-rollen toe, meestal Exchange Administrator. In één tenant ging het verder: de app Cloud Management - MS Teams gaf zichzelf de rol Global Administrator en voegde credentials toe aan een beheertool en aan de applicatie van Huntress zelf. Dat kostte de aanvaller ongeveer vijf minuten.

Todyl vond in de negen tenants die het onderzocht juist géén aanpassingen in de directory, alleen aanmeldactiviteit. Het beeld verschilt dus per omgeving.

Wat ConnectWise heeft gedaan

Om 07:00 UTC op 17 oktober heeft ConnectWise zeven applicatie-identiteiten uitgezet en de certificaten ingetrokken die bij de getroffen verbindingen hoorden. De gedeelde credentials zijn daarmee ongeldig. Cloud Backup blijft opgeschort: geplande back-ups draaien niet en herstellen kan niet. Bestaande archieven zijn volgens het bedrijf versleuteld, geïsoleerd en bewaard, en er zijn geen aanwijzingen dat die zijn benaderd.

Als extra voorzorg zijn ook SaaS Security en Cloud Management tijdelijk offline gehaald. ConnectWise heeft een extern forensisch bureau ingeschakeld en geeft nog geen hersteldatum.

Wat beheerders nu moeten nalopen

ConnectWise vraagt partners zowel hun eigen tenant als elke beheerde klanttenant te controleren, inclusief omgevingen met slapende SkyKick-koppelingen. Concreet: controleer de aanmeldingen van service principals in Entra, filter op de betrokken applicatie-ID's en let op onverwachte bronadressen. Kijk daarnaast naar toegevoegde certificaten en secrets sinds 13 oktober, naar wijzigingen in directory-rollen, eigenaren en consent grants, en naar doorstuurregels en delegaties op mailboxen.

Het belangrijkste punt uit de advisory: het uitzetten van de oorspronkelijke applicaties draait niets terug wat er al in een tenant is veranderd. Toegangspaden die via andere identiteiten zijn aangelegd, blijven gewoon werken tot iemand ze weghaalt.