ConnectWise отключила облачное резервное копирование после компрометации тенантов Microsoft 365
ConnectWise временно отключила семь идентификаторов приложений, включая ConnectWise Cloud Backup, после того как неизвестные злоумышленники получили несанкционированный доступ к этим идентификаторам и скомпрометировали тенанты Microsoft 365. Компания продолжает расследование инцидента. Мера затрагивает клиентов, использующих облачные сервисы ConnectWise в связке с Microsoft 365.
Подробности
Среди отключённых идентификаторов указан ConnectWise Cloud Backup с идентификатором приложения 506e08f9-6e9a-4da4-942b-a099a03644ae. Всего компания деактивировала семь идентификаторов приложений, перечень которых приводится в её сообщении. Как именно злоумышленники получили доступ к идентификаторам, в исходной публикации не уточняется; расследование продолжается. Нет в исходнике и данных о конкретных CVE, масштабе затронутых тенантов или сроках восстановления сервиса. Отключение идентификаторов приложений — логичная реакция на инцидент: такие идентификаторы используются сервисами для автоматизированного доступа к данным в Microsoft 365, и их компрометация позволяет атакующим действовать от имени легитимного приложения, что затрудняет обнаружение. Приостановка ConnectWise Cloud Backup может отразиться на клиентах, которые полагаются на этот сервис для защиты данных почты, OneDrive и других рабочих нагрузок Microsoft 365.Что делать
Клиентам и партнёрам ConnectWise рекомендуется проверить состояние своих интеграций с Microsoft 365 и убедиться, что резервное копирование критичных данных не зависит от единственного приостановленного сервиса. Стоит проанализировать журналы входов и активности приложений в тенантах Microsoft 365 на предмет подозрительных обращений от имени приложений ConnectWise, а также проверить согласия (consent), выданные сторонним приложениям, и отозвать те, в которых нет необходимости. Дополнительно имеет смысл усилить контроль доступа: ограничить права приложений принципом минимальных привилегий, включить MFA для административных учётных записей и настроить оповещения о новых регистрациях приложений и изменениях в согласиях. Тем, кто использует ConnectWise Cloud Backup, следует уточнить у вендора статус сервиса и план восстановления, а также временно усилить мониторинг резервных копий и восстановительных процедур. Официальных рекомендаций вендора помимо отключения идентификаторов в исходной публикации не приводится. Итог: инцидент подчёркивает, что идентификаторы приложений — такая же критичная поверхность атаки, как и пользовательские учётные записи, и требуют отдельного контроля. До завершения расследования клиентам ConnectWise стоит исходить из того, что доступ через затронутые приложения мог быть использован злоумышленниками.Источник: The Hacker News