AnswersPublished23 sources
Aanval via ConnectWise Cloud Backup: wat Microsoft 365-beheerders moeten weten
Huntress zag ongeautoriseerde aanmeldingen in 173 partner en klanttenants met een gecompromitteerd inloggegeven van ConnectWise Cloud Backup. De aanvaller meldde zich aan als applicatie, niet als gebruiker.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Huntress zag ongeautoriseerde aanmeldingen in 173 partner en klanttenants met een gecompromitteerd inloggegeven van ConnectWise Cloud Backup.
- De aanvaller meldde zich aan als applicatie, niet als gebruiker. Daardoor was gebruikers MFA niet van toepassing op deze aanmeldingen.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Een gecompromitteerd inloggegeven van ConnectWise Cloud Backup, voorheen SkyKick, is gebruikt om Microsoft Graph-toegangstokens te verkrijgen in Microsoft 365-tenants van klanten. Beveiligingsbedrijf Huntress meldde ongeautoriseerde aanmeldingen in 173 partner- en klanttenants. Dat betekent niet dat in al die 173 tenants gegevensdiefstal is vastgesteld. De totale impact en de manier waarop het oorspronkelijke inloggegeven is buitgemaakt, zijn nog onbekend. 1
6
9
Wat is er gebeurd?
Microsoft beschrijft het incident als een aanval op de toeleveringsketen, waarbij een vertrouwde OAuth-applicatie is gecompromitteerd. Klanten hadden de multitenant-app van Cloud Backup al toestemming gegeven om in hun Microsoft 365-omgeving te werken. Volgens onderzoekers maakte de aanvaller misbruik van die bestaande rechten om tokens voor meerdere tenants te verkrijgen. Daaronder vielen brede directoryrechten, zoals Directory.ReadWrite.All. 9
15
Huntress meldde eerst 162 tenants om 19.00 uur UTC op 16 oktober. In een latere update liep het aantal op tot 173. Het gaat om bevestigde ongeautoriseerde aanmeldingen, niet om een definitief aantal getroffen organisaties of bewijs dat in iedere tenant gegevens zijn ingezien. 1
6
9
De tijdlijn en het gemelde IP-adres
Huntress zag de applicatie op 15 oktober tussen 06.13 en 08.34 uur UTC Microsoft Graph-tokens ophalen vanaf 144.172.64[.]128. De snelle opeenvolging van aanmeldingen bij verschillende tenants wees volgens het bedrijf op geautomatiseerde activiteit. Huntress meldde ook mislukte pogingen tot password spraying tegen vier advocatenkantoren vanaf hetzelfde IP-adres op 13 en 14 oktober. Die eerdere pogingen bewijzen niet hoe het inloggegeven van Cloud Backup is gecompromitteerd. 1
5
20
Waarom gebruikers-MFA de aanmeldingen niet tegenhield
De activiteit vond plaats via de identiteit van een applicatie — ook wel een service principal genoemd — en niet via een individueel gebruikersaccount. Gebruikers-MFA maakte daarom geen deel uit van deze aanmeldingsstroom. Dat is iets anders dan een aanvaller die MFA op een gebruikersaccount weet te omzeilen. 7
11
De bestaande rechten van de applicatie konden mogelijk toegang bieden tot Microsoft 365-bronnen zoals e-mail, OneDrive, SharePoint, Teams en directorygegevens. Dat de rechten dit mogelijk maakten, bewijst niet dat al die gegevens zijn ingezien. Todyl rapporteerde ongeautoriseerde aanmeldingen in de negen tenants die het onderzocht; die beperkte bevinding zegt niet wat er in andere tenants is gebeurd. 6
19
29
Onderzoekers zagen ook aanwijzingen voor blijvende toegang
Huntress meldde dat in bijna 50 tenants directoryrollen aan zichzelf waren toegekend. In een waargenomen geval kende een applicatie voor Teams-beheer zichzelf de rol Global Administrator toe. Ook voegde die applicatie inloggegevens toe aan andere applicaties, waaronder een beheertool van een MSP — een managed service provider, oftewel een IT-dienstverlener — en een applicatie van Huntress. Die extra inloggegevens kunnen toegangsroutes opleveren die losstaan van de oorspronkelijke Cloud Backup-koppeling. 1
9
Alleen de integratie van de leverancier uitschakelen is daarom mogelijk niet genoeg om alle tijdens een inbraak aangebrachte wijzigingen ongedaan te maken. Beheerders doen er ook goed aan onbekende applicatiegeheimen en onverwachte roltoewijzingen op te sporen. 1
13
Wat is bekend over de back-ups — en wat niet?
ConnectWise zei geen aanwijzingen te hebben dat back-upgegevens van partners waren ingezien. Het bedrijf meldde ook dat bestaande archieven beschikbaar zouden zijn zodra de dienstverlening is hersteld. Die uitspraak gaat over de back-uparchieven; ze bewijst niet dat klantgegevens in Microsoft 365 onaangeroerd zijn gebleven. In de gemelde update werd geen datum voor herstel aangekondigd. 4
19
In een update van 17 oktober meldde ConnectWise dat certificaten voor de getroffen applicatiekoppelingen waren ingetrokken en gedeelde inloggegevens voor Cloud Backup ongeldig waren gemaakt. De onderbreking van de dienst en deze maatregelen zijn stappen om het incident in te dammen, geen definitief overzicht van de impact. 3
De beschikbare informatie geeft geen uitsluitsel over het totale aantal getroffen organisaties, de omvang van eventuele datadiefstal of de herkomst van het oorspronkelijke gecompromitteerde inloggegeven. Beveiligingsbedrijven onderzochten bovendien verschillende groepen tenants. De bevindingen van één partij vormen dus niet automatisch het volledige beeld van alle getroffen omgevingen. 1
9
19
Wat Microsoft 365-beheerders nu kunnen doen
- Schakel getroffen applicaties uit en bewaar bewijsmateriaal. Huntress adviseerde getroffen organisaties de applicatie uit te schakelen. Verwijder de app niet voordat relevante aanmeldingen, rolwijzigingen en wijzigingen in inloggegevens zijn onderzocht. Volg actuele adviezen van de leverancier en incidentresponders voordat u de koppeling opnieuw activeert.
9
13
- Controleer ook andere applicaties. Zoek naar onverwachte geheimen of inloggegevens die sinds 13 oktober zijn toegevoegd, en naar onbekende roltoewijzingen. Het roteren van inloggegevens van de leverancier of het opschorten van de dienst verwijdert niet automatisch gegevens die een aanvaller aan andere applicaties heeft toegevoegd.
1
- Onderzoek app-aanmeldingen apart van gebruikersaanmeldingen. Omdat deze activiteit via een applicatie-identiteit liep, is alleen controleren van MFA-gebeurtenissen voor gebruikers niet voldoende.
7
- Zie ontbrekende auditgebeurtenissen niet als bewijs dat er geen toegang was. Sommige leesacties op Microsoft Graph-directorygegevens laten mogelijk geen directory-auditspoor achter. Het ontbreken van zulke gebeurtenissen zegt daarom niet met zekerheid dat er geen toegang of verkenning heeft plaatsgevonden.
De kern van het incident: een vertrouwde integratie kan aanzienlijke toegang hebben tot meerdere klanttenants. De bevestigde app-aanmeldingen en gemelde aanwijzingen voor blijvende toegang verdienen onderzoek, ook waar datadiefstal niet is vastgesteld. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Aanval via ConnectWise Cloud Backup: wat Microsoft 365-beheerders moeten weten"?
Huntress zag ongeautoriseerde aanmeldingen in 173 partner en klanttenants met een gecompromitteerd inloggegeven van ConnectWise Cloud Backup.
What are the key points to validate first?
Huntress zag ongeautoriseerde aanmeldingen in 173 partner en klanttenants met een gecompromitteerd inloggegeven van ConnectWise Cloud Backup. De aanvaller meldde zich aan als applicatie, niet als gebruiker. Daardoor was gebruikers MFA niet van toepassing op deze aanmeldingen.