ConnectWiseは、ハッカーがアプリケーションIDにアクセスしてMicrosoft 365テナントを侵害したことを受け、Cloud Backupサービス（旧SkyKick Cloud Backup）への顧客アクセスを遮断しました。
不審な動きに関する報告は金曜日から出始めました。管理者らは、「SkyKick/CWの侵害」の可能性により、Microsoft 365テナント内のクライアントデータに不正アクセスがあったことを確認しています。
同じ日の後半には、マネージド型のサイバーセキュリティ・脅威検知プラットフォームを提供するHuntressが、こうした懸念を裏付けました。同社は自社の環境で、少なくとも162のテナントが侵害されたことを確認したと述べています。
Microsoftも本日の投稿で、ConnectWiseのCloud Backupサービスに関わる悪意のある活動を確認したと明らかにしました。10月15日に、あるIPアドレスからの不正な認証試行を特定したということです。
ConnectWiseのクラウドバックアップ製品は、マネージドサービスプロバイダー（MSP）やIT部門が、Microsoft 365やGoogle Workspaceなどのクラウド環境にあるメールやファイルといった顧客データを保護・復元するためのバックアップおよびリカバリサービスです。
Microsoft 365のバックアップでは、Microsoft Entra IDを通じて付与された権限に依存します。「サービスプリンシパル」と呼ばれるアプリケーションIDは、顧客テナント内でソフトウェアを表し、付与された権限に応じてリソースへアクセスできるようにする仕組みです。
Microsoft 365テナントへの侵害
ConnectWiseはセキュリティアドバイザリで、「ConnectWise Cloud Backup環境内のアプリケーションIDへの不正アクセスを最近確認した」と説明し、パートナーとクライアント向けのアプリケーションアクセスを停止しました。
「現時点で、Cloud Backupパートナーのバックアップデータが侵害されたことを示す兆候はありません。既存のクラウドバックアップのアーカイブは今回のサービス中断の影響を受けておらず、サービス復旧後にアクセスできるようになります」と、ConnectWiseは述べています。
ただし同社は調査を開始しており、修復作業にも取り組んでいます。
Microsoft、Huntress、管理者らの報告によると、悪意のある活動は少なくとも10月15日に始まっており、発信元は単一のIPアドレス「144.172.64[.]128」でした。
Redditのあるユーザーは、10月15日にMicrosoft Privileged Identity Management（PIM）サービスから通知を受け取ったと投稿しています。通知は、SkyKickのサービスプリンシパルが自らにExchange管理者のロールを割り当てたという内容でした。このアプリは何年も使っていなかったといいます。
それでも、報告された不正なSkyKickのIDの一部は、Huntress、Microsoft、そしてMSPやIT専門家向けのサイバーセキュリティプラットフォームであるTodylが公表したものと一致しています。
Todylの研究者によると、攻撃者はバックアップアプリケーションとして、そのシークレットを使ってMicrosoft 365に直接認証しました。これにより、顧客がすでに付与していた権限を手に入れたということです。
サインイン要求は自動化されたスクリプトで実行されており、ユーザーのログインを伴わないため、多要素認証（MFA）などの保護策は機能しませんでした。
「このアプリケーションは各テナントで、あらかじめ広範な権限を付与されていました。そのため、これらのサインインにより、攻撃者はメールと添付ファイル、OneDriveとSharePointのファイル、Teamsのチャットを読み書きできる技術的能力を得ました」と、Todylは述べています。
Todylの研究者が分析した9テナントへの侵入では、確認できたのはサインイン活動のみでした。脅威アクターが「バックアップアプリを通じて、いずれかのテナントでアカウントの作成、権限の追加、パスワードの変更、永続化の確立を行った」証拠は見つかっていません。
偵察と永続化の試み
一方、Huntressは、監視している約50のテナントで、「ConnectWiseのCloud Managementアプリ（Exchange Online、Microsoft Teams、Microsoft Graph）のサービスプリンシパルが、自らにディレクトリロール（主にExchange管理者）を割り当てていた」ことを確認しました。
Huntressの研究者は、あるテナントで攻撃者が永続化を確立したことも観測しており、この作業にかかった時間は約5分でした。
この活動の中で、Cloud Management – MS Teams（24205314-2b89-4e07-a2a4-579e898a5640）が自らにグローバル管理者ロールを付与しました。さらに、MSPの管理ツールとHuntress自身のアプリケーションに認証情報を追加しています。
Microsoftも、サービスプリンシパルの認証成功後にバックドアを介した永続化の動きを観測しました。その後には「Microsoft Graph APIの偵察と、追加の認証情報を登録する試み」が続いたということです。
なお、3社のセキュリティ企業はいずれも、この悪意のある活動を同じIPアドレス「144.172.64[.]128」に結び付けています。
Microsoft Threat Intelligenceは、この事案を現在進行中のサプライチェーン攻撃と位置付けました。攻撃者はDirectory.ReadWrite.Allなど、既存の権限を悪用した可能性が高いと分析しています。
侵害の痕跡とテナントの確認
Huntressは、攻撃で使われた正規のCloud BackupアプリケーションIDとして「506e08f9-6e9a-4da4-942b-a099a03644ae」を特定しました。同社の調査では、攻撃者のIPアドレスが、10月13日と14日にユーザーエージェント「curl/7.88.1」で行われたスクリプトによるサインイン試行にも関連していました。
現時点の証拠によると、Cloud Backupサービスを悪用した活動に関連するユーザーエージェントは、少なくとも次の3つです。python-urllib/3.12、python-requests/2.31、python-requests/2.34.2
ConnectWiseは管理者に対し、EntraでサービスプリンシパルのサインインをCloud BackupのアプリケーションIDで絞り込み、想定外の接続元アドレスがないか調べるよう推奨しています。
Microsoftも、アプリケーションの認証情報の変更、OAuthの許可（グラント）、関連するGraphのアクティビティを確認するよう勧めています。
Huntressは管理者に対し、影響を受けたConnectWiseのアプリケーションを無効化することに加え、アプリケーションの認証情報に不正な追加がないか確認し、ほかのCloud Management連携も見直すよう助言しています。
同社によれば、古いテナントではCloud Managementアプリが「SkyKick Cloud Manager」の名称で表示されている場合があります。
同社は、管理者が確認すべきアプリケーションIDの拡張リストを提供しています。
- ConnectWise Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）
- ConnectWise Cloud Management（2399d300-6fca-4e6a-a686-399fefe75b83）
- ConnectWise Cloud Management – MS Teams（24205314-2b89-4e07-a2a4-579e898a5640）
- ConnectWise Cloud Management – Exchange Online（b78f6a77-d4e5-46fb-87e5-d1648bd02519）
- ConnectWise Cloud Management – MS Graph（0de14c77-b9b0-4137-9360-34878a929827）
- ConnectWise Cloud Management – Partner Center（412dcf96-176d-4b3a-a1b0-4981ad66971e）
- ConnectWise Cloud Management – SharePoint Online（b2b55f5b-7758-4719-8d8f-88ae172e6bdb）
ベンダー側がサービスを停止しても、顧客テナントにすでに仕込まれた認証情報は削除されません。Huntressは、管理者がすべてのアプリケーションのシークレットと証明書を調べ、10月13日以降に不正に追加されたものがあれば削除すべきだとしています。
Todylは、アプリケーションを無効化すれば新しいトークンは発行されなくなるものの、既存のトークンは有効期限が切れるまで有効だと警告しています。また、ユーザーセッションを取り消しても、アプリケーションベースのアクセスは終了しません。
ConnectWiseは、10月17日の協定世界時（UTC）5時01分にバックアップサービスの中断を発表しましたが、接続の復旧時期は示していません。
同社は、保存されているバックアップが侵害された証拠は報告しておらず、サービスの復旧後には既存のアーカイブにアクセスできるようになると説明しています。
記事の公開時点では、被害件数やデータが盗まれた範囲は不明です。攻撃者がどのようにベンダーの認証情報を入手したのかも分かっていません。
