La faille de ConnectWise Cloud Backup compromet plus de 160 tenants Microsoft 365

ConnectWise a suspendu son service Cloud Backup le 17 octobre après que des chercheurs en sécurité ont confirmé que des attaquants avaient compromis les identifiants de la plateforme et les avaient utilisés pour accéder aux environnements Microsoft 365 de ses clients. Ce service, acquis auprès de SkyKick, dispose par conception de larges permissions OAuth sur les tenants gérés — et c'est précisément cette portée étendue qui a rendu cette intrusion si grave.

La société de sécurité Huntress a identifié au moins 162 tenants compromis dans son propre environnement de surveillance. Comme ConnectWise Cloud Backup s'authentifie en tant qu'application et non en tant qu'utilisateur, le MFA ne s'est jamais appliqué. L'attaquant a utilisé un script pour s'authentifier directement avec le secret d'application volé, obtenant ainsi un accès en lecture et écriture aux e-mails, fichiers SharePoint, données OneDrive et conversations Teams dans chaque tenant affecté.

L'activité malveillante a commencé au moins le 13 octobre, avec des tentatives scriptées provenant de l'adresse IP 144.172.64[.]128. Todyl a analysé neuf intrusions et n'a trouvé que de l'activité de connexion, sans création de fichiers, persistence ni mouvement latéral dans ces tenants. Microsoft a confirmé l'activité et indiqué que l'attaquant avait probablement abusé des permissions Directory.ReadWrite.All. Dans au moins un tenant, une application Cloud Management a été utilisée pour s'octroyer le rôle Global Administrator.

ConnectWise a mis le service hors ligne à 05:01 UTC le 17 octobre sans fournir de calendrier de restauration. La société a indiqué que les archives de sauvegarde existantes ne sont pas affectées et qu'il n'y a aucune indication que les données de sauvegarde des partenaires aient été compromises, bien que l'étendue complète de l'accès reste indéterminée.

Les prestataires de services gérés utilisant ConnectWise Cloud Backup ou Cloud Management doivent immédiatement auditer les journaux de connexion des service principals dans Entra ID, en filtrant par l'identifiant d'application 506e08f9-6e9a-4da4-942b-a099a03644ae. Désactiver l'application arrête l'émission de nouveaux tokens mais n'invalide pas les tokens existants. Les administrateurs doivent également examiner les modifications d'identifiants ou de grants OAuth depuis le 13 octobre.

Cette attaque suit le schéma des acteurs malveillants qui ciblent les plateformes de sauvegarde et de gestion parce qu'elles portent par conception des identifiants persistants et privilégiés. Un outil MSP pouvant accéder à chaque tenant qu'il gère est un point de défaillance unique catastrophique si ses identifiants sont compromis.

Signalé en premier par BleepingComputer, avec une analyse complémentaire de Huntress et Todyl.