Исследователи Huntress подтвердили несанкционированные входы в 173 арендаторские среды Microsoft 365, связанные с партнёрами и клиентами ConnectWise. Для получения токенов Microsoft Graph злоумышленники использовали скомпрометированные учётные данные приложения ConnectWise Cloud Backup, ранее известного как SkyKick.
ConnectWise Cloud Backup применяется MSP для резервного копирования и восстановления данных в Microsoft 365 и Google Workspace. В арендаторах Microsoft 365 приложение может иметь широкий доступ к почтовым ящикам, OneDrive, SharePoint, Teams и данным каталогов. Поэтому компрометация его учётных данных потенциально позволяет действовать от имени приложения в каждой среде, где оно было установлено и авторизовано.
По оценке Huntress, проверка актуальна для всех организаций, у которых ConnectWise Cloud Backup установлен и получил разрешения. Компания сообщила, что учётные данные приложения оказались у злоумышленников и уже использовались для выпуска токенов Microsoft Graph в клиентских арендаторах.
Получение токенов и обход арендаторов
Huntress зафиксировала получение токенов Microsoft Graph с IP-адреса 144.172.64[.]128 15 октября, с 06:13 до 08:34 UTC. Исследователи обратили внимание на последовательность запросов: атакующие переходили между арендаторами, упорядоченными по GUID, а интервал между обращениями составлял несколько секунд. По данным Huntress, такой порядок похож на работу скрипта, обрабатывавшего список арендаторов.
Злоумышленники аутентифицировались в приложении собственными средствами, но способом, аналогичным штатной службе резервного копирования. Затем они запрашивали токены в рамках уже предоставленных приложению разрешений. Полученный таким образом токен даёт доступ в пределах прав, которыми ConnectWise Cloud Backup располагал в конкретном арендаторе.
В зависимости от конфигурации это может означать доступ к содержимому почтовых ящиков, файлам и данным каталогов. Поскольку резервному копированию обычно требуются широкие разрешения, скомпрометированные учётные данные приложения позволяют получить тот же уровень доступа во всех арендаторах, где Cloud Backup был установлен.
Huntress также сообщила об активности с того же IP-адреса 13 и 14 октября 2026 года. Тогда против четырёх клиентов юридической фирмы проводилась password spraying-атака. В доступной исследователям телеметрии успешных пользовательских входов в ходе этой активности не обнаружили.
Изменение других привилегированных приложений
Риск, по данным Huntress, не ограничился правами, которыми изначально располагал ConnectWise Cloud Backup. Как минимум в одном партнёрском арендаторе исследователи обнаружили другое приложение ConnectWise, самостоятельно назначившее себе роль глобального администратора. После этого оно добавило учётные данные в иные доверенные приложения с привилегированным доступом.
Речь идёт о ConnectWise Cloud Management для Microsoft Teams с идентификатором приложения 24205314-2b89-4e07-a2a4-579e898a5640. Как установили исследователи, приложение назначило себе роль глобального администратора и запустило Python-скрипт с User-Agent Python-urllib/3.12.
Этот скрипт изменил два приложения в арендаторе: приложение управления MSP и Huntress Security Platform. В оба были добавлены новые секреты клиентов. Оба приложения были доверенными инструментами с привилегированным доступом.
Добавление учётных данных в приложение управления MSP способно расширить доступ за пределы одного арендатора: такие приложения нередко имеют разрешения для работы со средами клиентов провайдера. Новый секрет в приложении средства защиты, в свою очередь, даёт его владельцу все права, предоставленные этому инструменту в конкретной среде. Таким образом, последствия могут выйти за пределы данных, доступных через Cloud Backup, если атакующие изменили конфигурацию других доверенных приложений.
Какие права могли наследовать токены
Компания Todyl в отдельном анализе также выявила несанкционированную сторону, аутентифицировавшуюся в Microsoft Graph от имени приложения ConnectWise Cloud Backup. По оценке исследователей, этот доступ наследовал уже выданные приложению разрешения.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
В их число входили чтение и запись почты и вложений, полный доступ к почтовым ящикам через Exchange Web Services, доступ к данным OneDrive, SharePoint и чатам Teams, а также возможность восстановления данных. Фактический объём доступных сведений определяется разрешениями, действовавшими в каждом арендаторе.
Huntress указывает, что речь может идти о почтовых ящиках, файлах OneDrive и SharePoint, данных Teams и сведениях каталога. Значительная часть таких данных может принадлежать клиентам MSP.
Отзыв пользовательских сессий не прекращает доступ приложения
Todyl отдельно отметила ограничение при реагировании: отзыв пользовательских сессий сам по себе не блокирует доступ, полученный через приложение. В этом сценарии используются токены приложения, а не пользовательские сессии.
Отключение приложения в отдельном арендаторе предотвращает выпуск новых токенов для этой среды. Однако токены, выданные до отключения, могут оставаться действительными до 90 минут. По оценке Todyl, пока приложение включено, арендатор сохраняет риск до тех пор, пока ConnectWise не обновит скомпрометированные учётные данные.
ConnectWise сообщила, что закрыла доступ к приложению Cloud Backup до дальнейшего уведомления. Компания также заявила, что не обнаружила доказательств компрометации данных резервных копий партнёров Cloud Backup. Это заявление относится именно к данным резервных копий и не исключает доступа к ресурсам Microsoft 365 в пределах разрешений, выданных приложению.
Что проверить в Microsoft Entra
ConnectWise указала признаки для проверки журналов. В центре администрирования Microsoft Entra следует перейти в раздел «Мониторинг» → «Журналы входа», открыть вкладку «Входы учётной записи службы» и применить фильтр по идентификатору приложения 506e08f9-6e9a-4da4-942b-a099a03644ae.
Эти события по умолчанию не отображаются на вкладке «Входы пользователей», поэтому проверки только пользовательских аутентификаций недостаточно. В столбце IP-адресов следует искать попытки аутентификации из диапазонов, не относящихся к ожидаемой инфраструктуре Microsoft или Azure.
Нормальный исходящий трафик приложения идентифицировался как частный IPv6-адрес Azure. Известный подозрительный IP-адрес — 144.172.64[.]128; его использование 15 октября Huntress связала с получением токенов Microsoft Graph в клиентских арендаторах.
С учётом описанного сценария организациям, использующим ConnectWise Cloud Backup или ранее SkyKick, следует отключить приложение до подтверждения того, что поставщик сбросил все его учётные данные. Также целесообразно проверить, не добавлялись ли новые учётные данные приложений.
Отдельно следует изучить журналы аудита Entra: искать действия приложений ConnectWise или SkyKick, включая самостоятельное добавление приложения в роль каталога. Также требуется проверить появление секретов клиентов в доверенных приложениях, прежде всего если они имеют привилегированный доступ или применяются для управления арендаторами клиентов MSP.
Практическая последовательность действий включает:
- Отключение ConnectWise Cloud Backup до подтверждённого сброса всех учётных данных со стороны поставщика.
- Аудит новых учётных данных, добавленных приложениям.
- Проверку аудита Microsoft Entra на предмет приложений ConnectWise или SkyKick, назначающих себе роли каталога.
- Просмотр сервисных входов с фильтром по application ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
- Анализ аутентификаций с неожиданными IP-адресами, включая 144.172.64[.]128.
- Проверку изменений секретов в привилегированных и доверенных приложениях.
Полный масштаб потенциального воздействия зависит от разрешений, действовавших в каждом клиентском арендаторе. Организации, где приложение не было установлено или не получило соответствующих прав, не относятся к описанному сценарию лишь на основании самого факта использования Microsoft 365.