RéponsesPublié23 sources
ConnectWise Cloud Backup : une application compromise a ouvert la voie à 173 tenants Microsoft 365
Huntress a confirmé des connexions non autorisées dans 173 tenants Microsoft 365 via un identifiant compromis de l’application ConnectWise Cloud Backup. L’attaquant s’est authentifié en tant qu’application de confiance : l’authentification multifacteur des utilisateurs ne s’appliquait pas à ce flux.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Huntress a confirmé des connexions non autorisées dans 173 tenants Microsoft 365 via un identifiant compromis de l’application ConnectWise Cloud Backup.
- L’attaquant s’est authentifié en tant qu’application de confiance : l’authentification multifacteur des utilisateurs ne s’appliquait pas à ce flux.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Un identifiant compromis de ConnectWise Cloud Backup, anciennement SkyKick, a servi à obtenir des jetons d’accès Microsoft Graph dans plusieurs environnements Microsoft 365. Huntress a recensé des connexions non autorisées dans 173 tenants de partenaires et de clients. Ce chiffre ne signifie pas qu’un vol de données a été confirmé dans chacun d’eux. L’impact total et l’origine de la compromission de l’identifiant restent inconnus. 1
6
9
Ce que l’on sait de l’attaque
Microsoft la décrit comme une attaque de chaîne d’approvisionnement visant une application OAuth de confiance. Les clients avaient déjà autorisé l’application multitenant Cloud Backup à intervenir dans leurs environnements. Selon les enquêteurs, l’attaquant s’est appuyé sur ces autorisations existantes pour obtenir des jetons dans plusieurs tenants. Elles comprenaient des droits étendus, notamment Directory.ReadWrite.All. 9
15
Le bilan communiqué par Huntress est passé de 162 tenants à 19 h UTC le 16 octobre à 173 dans une mise à jour ultérieure. Il s’agit de connexions non autorisées confirmées, et non d’un décompte définitif des organisations touchées ni d’une preuve que des informations ont été dérobées dans chaque environnement. 1
6
9
Une série de connexions depuis une même adresse IP
Huntress a observé l’application obtenir des jetons Microsoft Graph depuis 144.172.64[.]128, entre 6 h 13 et 8 h 34 UTC le 15 octobre. Les passages rapides d’un tenant à l’autre laissent penser que l’activité était automatisée. Huntress a également signalé, depuis la même adresse IP, des tentatives infructueuses de « password spraying » contre quatre tenants de cabinets d’avocats les 13 et 14 octobre. Ces tentatives antérieures ne permettent pas d’établir comment l’identifiant de Cloud Backup a été compromis. 1
5
20
Pourquoi l’authentification multifacteur n’a pas bloqué l’accès
Les connexions ont été effectuées sous l’identité de l’application — aussi appelée principal de service — et non sous celle d’un utilisateur. L’authentification multifacteur des utilisateurs ne faisait donc pas partie de ce processus. Il ne s’agit pas d’un contournement de l’AMF d’un compte utilisateur. 7
11
Les autorisations de l’application pouvaient potentiellement donner accès à des ressources Microsoft 365 comme les courriels, OneDrive, SharePoint, Teams et les données d’annuaire. Mais l’étendue des droits ne prouve pas que toutes ces ressources ont été consultées. Dans les neuf tenants examinés par Todyl, l’entreprise a relevé les connexions non autorisées ; ce constat limité ne permet pas de conclure sur les autres environnements. 6
19
29
Des indices de persistance dans certains environnements
Huntress a signalé des rôles d’annuaire autoattribués dans près de 50 tenants. Dans un cas observé, une application de gestion de Teams s’est accordé le rôle d’administrateur général et a ajouté des identifiants à d’autres applications, notamment à l’outil de gestion d’un fournisseur de services gérés (MSP) et à l’application de Huntress. Ces identifiants ajoutés pourraient créer des voies d’accès distinctes de l’intégration Cloud Backup initialement compromise. 1
9
Désactiver l’intégration du fournisseur ne suffit donc pas nécessairement à annuler toutes les modifications apportées pendant l’intrusion. Les administrateurs devraient aussi rechercher les secrets d’application inconnus et les attributions de rôles inhabituelles. 1
13
Ce que l’on sait des sauvegardes — et ce qui reste à confirmer
ConnectWise a indiqué ne disposer d’aucun indice d’accès aux données des sauvegardes partenaires et a précisé que les archives existantes seraient disponibles après le rétablissement du service. Cette déclaration concerne les archives de sauvegarde ; elle ne prouve pas que les données des clients dans Microsoft 365 n’ont pas été consultées. Aucune date de rétablissement n’avait été annoncée dans la mise à jour rapportée. 4
19
Dans une mise à jour du 17 octobre, ConnectWise a indiqué avoir révoqué les certificats utilisés pour les connexions applicatives concernées et invalidé les identifiants partagés de Cloud Backup. L’interruption du service et ces mesures sur les identifiants visent à contenir l’incident ; elles ne constituent pas un bilan définitif de son ampleur. 3
Les informations disponibles ne permettent pas d’établir le nombre total d’organisations touchées, l’étendue d’un éventuel vol de données ni la source de la compromission initiale. Les analyses des différentes sociétés de sécurité portent par ailleurs sur des ensembles de tenants distincts : les observations d’une seule équipe ne donnent pas nécessairement une vue complète de tous les environnements concernés. 1
9
19
Les vérifications à mener dans Microsoft 365
- Désactiver les applications concernées tout en préservant les éléments utiles à l’enquête. Huntress recommande aux organisations touchées de désactiver l’application. Évitez de la supprimer avant d’avoir examiné les connexions, les attributions de rôles et les modifications d’identifiants. Suivez les consignes à jour du fournisseur et de votre équipe de réponse aux incidents avant toute reconnexion.
9
13
- Vérifier les autres applications, pas seulement Cloud Backup. Recherchez les secrets ou identifiants inattendus ajoutés depuis le 13 octobre, ainsi que les attributions de rôles inhabituelles. La rotation des identifiants du fournisseur ou la suspension du service ne supprime pas automatiquement les secrets ajoutés à d’autres applications.
1
- Examiner séparément les connexions d’applications et celles des utilisateurs. L’activité ayant utilisé une identité d’application, un examen des seuls événements d’authentification multifacteur des utilisateurs ne suffit pas.
7
- Ne pas considérer l’absence d’événements d’audit comme une preuve d’absence d’accès. Certaines opérations de lecture de l’annuaire via Microsoft Graph peuvent ne pas laisser de trace dans l’audit de l’annuaire. L’absence d’événement limite donc ce que l’on peut conclure.
La leçon centrale est qu’une intégration de confiance peut disposer de droits étendus dans plusieurs environnements clients. Ici, les connexions d’applications confirmées et les signes de persistance signalés justifient une enquête, même si un vol de données n’est pas établi. 9
15
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « ConnectWise Cloud Backup : une application compromise a ouvert la voie à 173 tenants Microsoft 365 » ?
Huntress a confirmé des connexions non autorisées dans 173 tenants Microsoft 365 via un identifiant compromis de l’application ConnectWise Cloud Backup.
Quels sont les points clés à valider en premier ?
Huntress a confirmé des connexions non autorisées dans 173 tenants Microsoft 365 via un identifiant compromis de l’application ConnectWise Cloud Backup. L’attaquant s’est authentifié en tant qu’application de confiance : l’authentification multifacteur des utilisateurs ne s’appliquait pas à ce flux.