攻撃者は、ConnectWise Cloud Backup(旧SkyKick)の侵害された認証情報を悪用し、Microsoft 365の顧客環境にアクセスしました。
Jonathan Semon氏は、10月16日19:00(UTC)時点で、162のテナントにまたがる不正なサインインを確認したと述べています。これにより、特権を持つベンダーアプリケーションと、永続的なアクセスへの懸念が高まっています。
ConnectWiseは10月16日のアドバイザリーで調査中であることを認め、封じ込め措置を講じていると説明しました。同社は、パートナーのバックアップデータにアクセスされた形跡はないとしていますが、インシデントの影響範囲に関する調査は続いています。
Huntressは、Cloud Backupアプリケーションが10月15日の06:13から08:34(UTC)にかけて、144.172.64[.]128からMicrosoft Graphのアクセストークンを取得していたことを確認しました。このホスティングプロバイダーのアドレスは、同アプリケーションが通常使用するAzureのプライベートネットワークの通信元とは異なっていました。
攻撃者はGUIDの昇順に、数秒間隔でテナントを次々に移動しており、標的リストに対するスクリプト化された攻撃だった可能性があります。認証には、被害を受けた顧客の環境内で生成されたものではなく、ベンダー側の認証情報が使われていました。
このバックアップアプリケーションは広範な権限を必要とするため、攻撃者はメールボックス、OneDrive、SharePoint、Teams、ディレクトリ情報へのアクセス権を引き継げた可能性があります。影響の範囲は各テナントで付与された権限によって異なります。トークンが発行されたという事実だけでは、データが盗まれたとは断定できません。
Huntressはあるパートナーのテナントで、ConnectWise Cloud Management – MS Teamsが自らにグローバル管理者権限を割り当て、その後、ほかの2つのアプリケーションにクライアントシークレットを追加していたことを突き止めました。
対象となったアプリケーションには、MSP管理ツールと、パートナーのシングルテナント向けHuntress Security Platformアプリケーションが含まれます。追加されたシークレットは2028年に失効するよう設定されており、元のConnectWise認証情報とは無関係に、攻撃者が足場を維持できる恐れがあります。
これらの変更は、パブリックIPからの認証が観測される約2時間30分前に行われました。Huntressは、両方のフェーズに同一の攻撃者が関与していたかどうかまでは確認できていません。
Microsoftは、2つ目のアプリケーションの接続がプライベートIPv6インフラ経由だったと記録しています。このインフラは正規の通信にも使われています。Huntressは、このアドレスだけでは攻撃者を特定できないと注意を促しています。
Huntressは各組織に対し、ConnectWise Cloud Backup(アプリケーションID: 506e08f9-6e9a-4da4-942b-a099a03644ae)と、ConnectWise Cloud Management – MS Teams(アプリケーションID: 24205314-2b89-4e07-a2a4-579e898a5640)を、削除せずに無効化するよう強く勧めています。
管理者は、10月13日以降に予期せず追加されたアプリケーションのシークレットと証明書がないか、すべて確認する必要があります。あわせて、不正なディレクトリロールの割り当てを調査し、仕込まれた認証情報を削除してください。最初のアプリケーションを無効化しても、ほかの場所にすでに追加されたシークレットは削除されません。
ConnectWiseのステータスページでは、確認時点で Cloud Backupが「稼働中」と表示されていました。ただし、この稼働状況の表示を、セキュリティ調査が完了した証拠と受け取るべきではありません。
連携を無効化すると自動バックアップは一時停止しますが、保存済みのバックアップは削除されません。
各組織はConnectWiseに保持期間と復旧のオプションを確認し、ベンダーがすべての認証情報のリセットを確認するまで、影響を受けたアプリケーションを再有効化しないでください。サインインの結果に異常がなくても、それを理由に封じ込めや、影響を受けた環境全体での認証情報の確認を遅らせるべきではありません。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(例: [.])しています。元の形式に戻すのは、MISP、VirusTotal、お使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/connectwise-skykick-abused-microsoft-365-attacks/
