Des pirates compromettent des environnements Microsoft 365 via ConnectWise

Coup de tonnerre le 16 octobre pour les clients de ConnectWise Cloud Backup : « ConnectWise enquête sur les récentes tentatives d'accès non autorisé associées à l'environnement ConnectWise Cloud Backup », indique alors l'éditeur.

Le lendemain, le verdict tombe : « nous avons récemment identifié un accès non autorisé aux identités d'application dans l'environnement ConnectWise Cloud Backup. Comme mesure de protection pour nos partenaires Cloud Backup et leurs clients, nous excluons l'accès aux applications Cloud Backup. Cela interrompra les services de sauvegarde pour les clients jusqu'à nouvel ordre ».

Et Microsoft de donner son analyse de la situation. Pour l'éditeur, il s'agit d'une « attaque active de la chaîne logistique au cours de laquelle un acteur de la menace a compromis l'application OAuth de confiance de l'application de sauvegarde ConnectWise Cloud Backup (AppId : 506e08f9-6e9a-4da4-942b-a099a03644ae), anciennement SkyKick Backup, afin d'obtenir des jetons d'accès à travers les tenants clients ».

Parce que ConnectWise Cloud Backup est, explique Microsoft, «une application de fournisseur multi-tenant ; les clients donnent leur consentement pour que l'application fonctionne dans leurs tenants ».

Pour l'éditeur, « l'acteur malveillant a probablement abusé des autorisations précédemment accordées par les clients à l'application, y compris des autorisations hautement élevées telles que Directory.ReadWrite.All ».

La campagne aurait commencé le 15 octobre et permis à l'attaquant de s'inviter chez les clients de ConnectWise sans authentification. Plus de 300 environnements auraient ainsi été compromis ; Huntress indique en avoir identifié près d'un millier ayant été visés.

Microsoft recommande d'examiner « les connexions de principal de service provenant d'adresses IP non reconnues, les changements d'identifiants d'application et l'activité de l'octroi OAuth associée à cet AppId spécifique ».