Облачный бэкап открыл хакерам почту и Teams компаний
Хакеры получили доступ к средам Microsoft 365 как минимум 162 организаций. Они вошли не через пароли сотрудников, а от имени сервиса резервного копирования ConnectWise Cloud Backup, бывшего SkyKick. Сервис отключён, копии не делаются и не восстанавливаются, а как злоумышленники добыли ключ, пока неизвестно.
Вход без человека
Cloud Backup продают в основном провайдерам управляемых ИТ-услуг (MSP), то есть компаниям, которые обслуживают чужие офисы. Сервис копирует почту, файлы и данные Teams клиентов, чтобы их можно было вернуть после сбоя или случайного удаления, уточняет xrust. Для этого он регистрируется внутри Microsoft 365 организации как отдельное приложение с очень широкими правами. В терминах Microsoft Entra ID это «сервисный принципал».
Чужие логины злоумышленникам не понадобились. По данным компании Todyl, они вошли в облако клиента как само приложение, подставив его секретный ключ. Вход делал скрипт, живой пользователь в процессе не участвовал, поэтому многофакторная аутентификация (коды, подтверждения на телефоне) просто не включалась.
Права приложению выдали заранее, когда организация подключала бэкап. По оценке Todyl, их хватало, чтобы читать и менять письма с вложениями, файлы в OneDrive и SharePoint и переписку в Teams.
Как это вскрылось
В пятницу, 16 октября, администраторы начали замечать посторонний доступ к клиентским данным и писали о возможном взломе SkyKick. В тот же день платформа кибербезопасности Huntress подтвердила: инцидент настоящий, затронуты как минимум 162 организации. Один из администраторов рассказал на Reddit, что получил уведомление Microsoft Privileged Identity Management. Приложение SkyKick, которым он годами не пользовался, выдало себе роль администратора Exchange.
Вход шёл с одного адреса у хостинг-провайдера. По данным Huntress, 15 октября между 06:13 и 08:34 по UTC злоумышленник переходил из организации в организацию с интервалом в несколько секунд, словно шёл по готовому списку. Пробные скриптовые входы с того же адреса Huntress видела ещё 13 и 14 октября. Microsoft подтвердила неавторизованные попытки аутентификации 15 октября и назвала происходящее активной атакой на цепочку поставок.
17 октября в 05:01 по UTC ConnectWise отключила доступ к Cloud Backup для всех клиентов. В тот же день компания вывела из строя семь идентификаторов приложений, через которые шла аутентификация, и объявила общие учётные данные недействительными. Позже она уточнила, что плановые копии не запускаются, а доступ к архивам и восстановление недоступны. Из предосторожности выключили и сервисы SaaS Security и Cloud Management.
Уже выданные токены доступа при этом могут работать, пока не истекут.
Что они успели сделать внутри
Картина получается неровная. Todyl разобрала девять организаций и нашла только факты входа. Следов созданных учётных записей, выданных прав, смены паролей или закрепления в системе там не было.
У Huntress данные хуже. Примерно в пятидесяти организациях под её наблюдением приложения ConnectWise Cloud Management (для Exchange Online, Teams и Microsoft Graph) сами присвоили себе роли в каталоге, чаще всего администратора Exchange.
В одной организации атакующий закрепился за пять минут. Приложение Cloud Management для Teams выдало себе роль глобального администратора. Затем оно добавило новые пароли двум другим приложениям: инструменту управления MSP и приложению самой Huntress. Срок действия обоих паролей установили до 2028 года. Такой пароль позволяет вернуться, даже когда исходный ключ ConnectWise уже аннулирован. Huntress нашла и удалила этот ключ.
Microsoft тоже видела закрепление через бэкдор после успешного входа сервисного принципала, затем разведку через Graph API и попытки добавить новые учётные данные. По её оценке, злоумышленник, вероятно, воспользовался уже выданными правами, включая Directory.ReadWrite.All.
Отдельно Huntress зафиксировала волну попыток против 16 организаций из сфер политики, нацбезопасности, торговли и критических минералов. Они провалились: у этих организаций приложений ConnectWise не было.
Масштаб
Сначала подтверждённых организаций было 162. Позже Huntress нашла почти тысячу организаций, где отмечена активность с адреса атакующего. Ключ работает против любой организации, где приложение подключено, поэтому подтверждённый список может оказаться неполным.
ConnectWise заявляет, что признаков доступа к хранимым копиям нет. Архивы, по её словам, зашифрованы и изолированы. Вместе с тем компания не видит, что происходит внутри клиентских сред, и не может сказать, заходили ли в конкретную из них. Кто стоит за атакой, неизвестно.
Что проверить администраторам
- В Entra ID среди корпоративных приложений найти ConnectWise Cloud Backup (идентификатор начинается с 506e08f9). В старых организациях приложения Cloud Management могут значиться как «SkyKick Cloud Manager».
- Приложения отключить, но не удалять, советует Huntress.
- Просмотреть секреты и сертификаты всех приложений и убрать те, что добавлены с 13 октября.
- Учесть, что отключение приложения не отзывает выданные токены, а завершение сессий пользователей не прекращает доступ самого приложения.
Ключ, о котором все забыли
Бэкап-сервис по своей задаче обязан видеть всё. Права у него широкие, работает он тихо, в списках сотрудников его нет. Приложение, которым годами никто не пользовался, спокойно выдало себе роль администратора.
Защита, к которой привыкли, рассчитана на людей. У программы с секретным ключом второго фактора нет. Один украденный у поставщика секрет работает на всех его клиентов сразу, и это главная причина, почему такая схема выгодна: взламывать нужно один раз.
Схема не новая. В 2020 году вредоносное обновление SolarWinds Orion дошло до клиентов компании. В 2021-м через инструмент Kaseya, которым пользуются MSP, программу-вымогатель получили, по оценке самой Kaseya, около полутора тысяч организаций. Удар приходился по поставщику, а платили его клиенты.
MSP обслуживают прежде всего малый и средний бизнес, у которого нет собственной ИТ-службы. Такие компании обычно доверяют подрядчику настройку целиком, вплоть до того, какие приложения получат доступ к почте.
Для российского читателя вывод шире одной компании. Там, где почта и документы лежат в облаке (у зарубежного филиала, у партнёра, в Microsoft 365 или Google Workspace), со временем копится десяток подключённых сервисов: бэкапы, рассылки, CRM, подписание документов. У каждого свои права и свой секретный ключ, и проверяют их редко. Cloud Backup умеет работать и с Google Workspace, но пострадавшими в этой истории названы только среды Microsoft 365.
Если Cloud Backup был единственным местом, откуда можно вернуть удалённую почту, сейчас вернуть её нельзя. Архивы целы, но доступа к ним нет.
Сроков возобновления Cloud Backup компания не называла.
Источники:
Xrust: Облачный бэкап открыл хакерам почту и Teams компанийКомментарии
