AnswersPublished23 sources
ConnectWise Cloud Backup, accessi non autorizzati in 173 tenant Microsoft 365
Huntress ha segnalato accessi non autorizzati in 173 tenant Microsoft 365, usando una credenziale compromessa dell’app ConnectWise Cloud Backup, in precedenza nota come SkyKick. Poiché l’accesso è avvenuto come applicazione e non come utente, l’autenticazione a più fattori degli utenti non si applicava a quel flusso.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- Huntress ha segnalato accessi non autorizzati in 173 tenant Microsoft 365, usando una credenziale compromessa dell’app ConnectWise Cloud Backup, in precedenza nota come SkyKick.
- Poiché l’accesso è avvenuto come applicazione e non come utente, l’autenticazione a più fattori degli utenti non si applicava a quel flusso.
- Gli accessi sono confermati, ma non dimostrano che siano stati sottratti dati in tutti i tenant: restano da accertare l’impatto totale e l’origine della compromissione.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Una credenziale compromessa di ConnectWise Cloud Backup, il servizio precedentemente noto come SkyKick, è stata usata per ottenere token di accesso Microsoft Graph in diversi tenant Microsoft 365. Huntress ha segnalato accessi non autorizzati in 173 tenant di partner e clienti: il dato non significa che sia stata confermata la sottrazione di dati in tutti e 173. L’impatto complessivo e l’origine della compromissione della credenziale restano ignoti. 1
6
9
Come è avvenuto l’accesso
Microsoft ha descritto l’incidente come un attacco alla catena di fornitura che ha coinvolto un’applicazione OAuth considerata attendibile. I clienti avevano già autorizzato l’app multitenant di Cloud Backup a operare nei propri ambienti; secondo gli investigatori, l’attaccante ha sfruttato quelle autorizzazioni per ottenere token attraverso più tenant. Tra i permessi figuravano diritti estesi sulla directory, come Directory.ReadWrite.All. 9
15
Il conteggio di Huntress è passato da 162 tenant alle 19:00 UTC del 16 ottobre a 173 in un aggiornamento successivo. Si tratta di accessi non autorizzati confermati, non del numero definitivo di organizzazioni coinvolte né della prova che i dati siano stati consultati o sottratti in ciascun tenant. 1
6
9
Cronologia e indirizzo IP
Huntress ha osservato l’applicazione ottenere token Microsoft Graph dall’indirizzo 144.172.64[.]128 tra le 06:13 e le 08:34 UTC del 15 ottobre. Il rapido passaggio da un tenant all’altro faceva pensare a un’attività automatizzata. La stessa società ha inoltre riferito di tentativi di password spraying, non riusciti, contro quattro tenant di studi legali il 13 e il 14 ottobre. Questi tentativi precedenti non chiariscono come sia stata compromessa la credenziale di Cloud Backup. 1
5
20
Perché l’MFA degli utenti non ha fermato l’attacco
L’autenticazione è avvenuta con l’identità dell’applicazione, detta anche service principal, e non con l’account di una persona. Perciò l’MFA applicata agli utenti non faceva parte di quel flusso di accesso: non si è trattato di un aggiramento dell’MFA su un account utente. 7
11
Le autorizzazioni già concesse all’app avrebbero potuto consentire l’accesso a risorse Microsoft 365 come posta, OneDrive, SharePoint, Teams e dati di directory. Avere la possibilità tecnica di accedervi, però, non prova che tutte queste risorse siano state consultate. Nei nove tenant esaminati, Todyl ha riferito di aver rilevato gli accessi non autorizzati; questa osservazione circoscritta non descrive ciò che è avvenuto negli altri ambienti. 6
19
29
Segnalati anche indizi di persistenza
Huntress ha riferito di aver rilevato ruoli di directory assegnati autonomamente in quasi 50 tenant. In un caso osservato, un’applicazione di gestione di Teams si è attribuita il ruolo di Amministratore globale e ha aggiunto credenziali ad altre applicazioni, tra cui l’app di gestione usata da un MSP — un fornitore di servizi IT gestiti — e quella di Huntress. Queste credenziali aggiuntive avrebbero potuto creare vie di accesso distinte dall’integrazione Cloud Backup iniziale. 1
9
Per questo disattivare la sola integrazione del fornitore potrebbe non bastare a rimuovere ogni modifica introdotta durante l’intrusione. Gli amministratori dovrebbero controllare anche le credenziali delle applicazioni e le assegnazioni di ruolo non riconosciute. 1
13
Backup e aspetti ancora da chiarire
ConnectWise ha dichiarato di non avere indicatori di accesso non autorizzato ai dati dei backup dei partner e ha affermato che gli archivi esistenti sarebbero stati disponibili dopo il ripristino del servizio. La dichiarazione riguarda gli archivi di backup: non dimostra che i dati dei clienti presenti in Microsoft 365 siano rimasti intatti. Nell’aggiornamento citato non era stata annunciata una data per il ripristino. 4
19
In un aggiornamento del 17 ottobre, ConnectWise ha comunicato di aver revocato i certificati usati per le connessioni applicative coinvolte e invalidato le credenziali condivise di Cloud Backup. L’interruzione del servizio e la revoca delle credenziali sono misure di contenimento, non un bilancio definitivo dell’incidente. 3
Le informazioni disponibili non permettono ancora di stabilire quante organizzazioni siano state coinvolte in totale, se e quanti dati siano stati sottratti o come sia stata compromessa la credenziale originale. Le analisi delle diverse società di sicurezza riguardano insiemi di tenant differenti: i risultati di una singola indagine non vanno considerati un quadro completo di tutti gli ambienti interessati. 1
9
19
Cosa dovrebbero fare gli amministratori di Microsoft 365
- Disattivare le applicazioni coinvolte e preservare le prove. Huntress ha consigliato alle organizzazioni interessate di disattivare l’applicazione. Prima di eliminarla, è opportuno esaminare i log e verificare modifiche a ruoli e credenziali; per riattivarla, seguire le indicazioni aggiornate del fornitore e del team di risposta agli incidenti.
9
13
- Controllare anche le altre applicazioni. Cercare segreti o credenziali inattesi aggiunti dal 13 ottobre e assegnazioni di ruolo insolite. La rotazione delle credenziali del fornitore o la sospensione del servizio non rimuovono automaticamente quelle eventualmente aggiunte dall’attaccante ad altre app.
1
- Esaminare separatamente gli accessi delle applicazioni. Poiché l’attività ha usato un’identità applicativa, controllare soltanto gli eventi MFA degli utenti non basta a valutarla.
7
- Non interpretare l’assenza di eventi nei log come prova che non ci sia stato accesso. Alcune operazioni di lettura della directory tramite Microsoft Graph potrebbero non lasciare traccia nel registro di controllo della directory.
La lezione centrale è che un’integrazione considerata affidabile può avere accessi estesi su più tenant dei clienti. In questo caso, gli accessi applicativi confermati e le segnalazioni di attività di persistenza giustificano verifiche anche dove la sottrazione di dati non è stata accertata. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ConnectWise Cloud Backup, accessi non autorizzati in 173 tenant Microsoft 365"?
Huntress ha segnalato accessi non autorizzati in 173 tenant Microsoft 365, usando una credenziale compromessa dell’app ConnectWise Cloud Backup, in precedenza nota come SkyKick.
What are the key points to validate first?
Huntress ha segnalato accessi non autorizzati in 173 tenant Microsoft 365, usando una credenziale compromessa dell’app ConnectWise Cloud Backup, in precedenza nota come SkyKick. Poiché l’accesso è avvenuto come applicazione e non come utente, l’autenticazione a più fattori degli utenti non si applicava a quel flusso.
What should I do next in practice?
Gli accessi sono confermati, ma non dimostrano che siano stati sottratti dati in tutti i tenant: restano da accertare l’impatto totale e l’origine della compromissione.