ConnectWise заблокировала семь учетных записей приложений после несанкционированного доступа, затронувшего клиентские среды Microsoft 365. Компания приостановила работу Cloud Backup, а SaaS Security и Cloud Management временно отключила в качестве меры предосторожности.
Какие приложения отключены
Меры были приняты 17 октября 2026 года в 07:00 UTC. ConnectWise отозвала сертификаты, использовавшиеся затронутыми приложениями для подключений у всех пользователей, и заблокировала учетные записи:
- ConnectWise Cloud Backup —
506e08f9-6e9a-4da4-942b-a099a03644ae; - ConnectWise Cloud Management —
2399d300-6fca-4e6a-a686-399fefe75b83; - ConnectWise Cloud Management — MS Teams —
24205314-2b89-4e07-a2a4-579e898a5640; - ConnectWise Cloud Management — Exchange Online —
b78f6a77-d4e5-46fb-87e5-d1648bd02519; - ConnectWise Cloud Management — MS Graph —
0de14c77-b9b0-4137-9360-34878a929827; - ConnectWise Cloud Management — Partner Center —
412dcf96-176d-4b3a-a1b0-4981ad66971e; - ConnectWise Cloud Management — SharePoint Online —
b2b55f5b-7758-4719-8d8f-88ae172e6bdb.
Отключение соединений блокирует новые аутентификации через них, но не отменяет изменения, уже внесенные в арендаторах Microsoft 365. Общие учетные данные Cloud Backup больше не действуют. Ранее выданные токены доступа при этом могут оставаться рабочими до истечения срока действия либо до отдельного отзыва.
ConnectWise отдельно предупредила: созданные через отдельные учетные записи несанкционированные учетные данные, разрешения и другие механизмы доступа необходимо искать и устранять дополнительно.
Что происходит с резервными копиями
Плановые резервные копии Cloud Backup сейчас не создаются. Пользователям также недоступны затронутые архивы и инструменты восстановления.
По заявлению ConnectWise, существующие архивы сохранены, изолированы и зашифрованы. Компания не располагает доказательствами их компрометации или доступа к ним злоумышленников.
Проблему обнаружили 14 октября в ходе усиленного мониторинга и проверки кибербезопасности. После этого ConnectWise начала внутреннее и внешнее расследования, а также ввела меры сдерживания. По данным компании, после их принятия в контролируемых ею средах успешной вредоносной активности не наблюдалось. Это не характеризует состояние клиентских сред: ConnectWise не может непосредственно контролировать их конечные окружения.
На момент публикации не установлено, связана ли компрометация учетных данных приложений с уязвимостью в продукте. Механизм утечки продолжает анализироваться.
Почему одних паролей клиентов для такой атаки не требуется
Инцидент не требует кражи пароля каждого клиента. Получив учетные данные приложения, атакующий может аутентифицироваться от его имени и запрашивать в Microsoft Entra ID токены доступа в пределах разрешений, уже выданных приложению.
Дальнейшие возможности зависят от назначенных прав. Потенциально это дает доступ к сервисам Microsoft, включая почтовые ящики, документы SharePoint, сообщения Teams и сведения из каталога.
Приложения ConnectWise используют широкие разрешения для резервного копирования и задач управления. Поэтому скомпрометированные данные приложения потенциально позволяют аутентифицироваться от его имени и расширять доступ: добавить приложение в роль глобального администратора, внести секретные ключи клиента в другие доверенные приложения арендатора, создать новые приложения и выдать им разрешения.
Секретный ключ клиента может обеспечить устойчивость доступа: с ним можно повторно аутентифицироваться от имени приложения даже после отзыва исходно скомпрометированных учетных данных. Это возможный сценарий развития атаки, а не подтверждение того, что такие действия были выполнены во всех затронутых арендаторах.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
Наблюдения Huntress и вторая волна попыток
Huntress сообщила, что последний вредоносный вход с исходного IP-адреса зафиксирован 15 октября в 08:45 UTC. Целенаправленная ручная активность продолжалась примерно до 14:20 UTC того же дня.
По оценке аналитиков компании, отключение доступа к Cloud Backup должно было прекратить активность через этот сервис. Однако, если атакующий успел добавить учетные данные в приложения внутри арендаторов Microsoft, он мог сохранить доступ и действовать от имени приложения.
Huntress не выявляла новой вредоносной активности после 15 октября. При этом компания подчеркивает, что доказательств связи прекращения активности с публичным раскрытием инцидента нет.
Исследователи также заявили, что с высокой уверенностью считают целями атакующего приложения ConnectWise Cloud Management для Exchange Online, Microsoft Teams и SharePoint. В одном клиентском пространстве подтверждено злоупотребление приложением Teams. По данным Huntress, эти приложения, вероятно, не были отключены на момент наблюдений компании. Эта оценка относится к собственным наблюдениям Huntress и не является подтверждением их одновременного статуса после заявленной ConnectWise блокировки семи учетных записей приложений и отзыва сертификатов 17 октября в 07:00 UTC. Расследование возможной дополнительной активности продолжается.
К концу субботы Huntress сообщила о второй целенаправленной волне попыток, зафиксированной 15 октября с IP-адреса 144.172.64[.]128. Она была нацелена на узкую группу из 16 арендаторов, но успеха не имела. Эти арендаторы относятся к политике, национальной безопасности, торговле и добыче критически важных минералов.
Для этой группы первая атака была направлена на токены Graph приложения SkyKick и продолжалась 15 октября с 09:25:04 до 12:35:50 UTC. Вторая атака на те же арендаторы произошла в тот же день с 13:54:39 до 14:20:24 UTC. По оценке Huntress, она выполнялась вручную и была нацелена на Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra и API управления Office 365.
Всего поставщик услуг управляемой безопасности выявил почти 1 000 арендаторов Entra, где наблюдались попытки входа с IP-адреса, связанного с несанкционированной активностью. Около 300 входов были успешными. Однако в части арендаторов отсутствие субъекта службы, как сообщается, не позволило атакующему получить доступ, несмотря на успешную аутентификацию.
Что проверить администраторам Microsoft 365
Организациям и партнерам, использующим затронутые подключения, следует проверить собственный арендатор Microsoft 365 и все управляемые клиентские арендаторы. Необходимо проверить статус перечисленных подключений приложений и не включать затронутые приложения до дальнейшего уведомления.
Следует проанализировать входы под различными учетными записями за период с 13 октября 2026 года по настоящее время, уделив особое внимание активности с адреса 144.172.64[.]128. До начала локализации стоит сохранить доступные журналы входов и аудита.
В рамках расследования необходимо проверить:
- аутентификацию приложений и пользователей;
- учетные данные приложений и отношения федеративного доверия;
- роли в каталоге, владельцев приложений и разрешения на доступ к данным;
- недавние изменения политик;
- несанкционированную переадресацию почты, правила входящих сообщений и транспорта;
- делегированный доступ к почтовым ящикам;
- любые другие учетные записи, которые изменялись или использовались во время подозрительной активности.
Huntress отмечает, что ряд механизмов Entra может ограничить последствия кражи учетных данных приложения. Политики управления приложениями позволяют ограничивать или блокировать добавление секретных ключей клиентов при регистрации приложений, а также устанавливать срок действия учетных данных. Сокращение числа пользователей с ролями администратора приложений и администратора облачных приложений уменьшает круг тех, кто может добавлять учетные данные к приложениям.
Условный доступ для идентификационных данных рабочих нагрузок, требующий дополнительного лицензирования, позволяет ограничивать места, из которых приложению разрешен вход. Microsoft Entra ID Protection может помечать рискованные субъекты службы. Эти механизмы не заменяют проверку учетных данных, но могут затруднить использование внедренного секрета либо упростить его выявление.
Практический вывод: отключение скомпрометированного подключения само по себе не гарантирует удаления закрепившегося доступа. В затронутых арендаторах нужно отдельно проверить выданные приложениям секреты, роли, разрешения, доверенные связи и изменения в почтовой инфраструктуре, сохранив журналы до начала работ по сдерживанию.