アプリケーションの不正認証と権限昇格が発生しました。ConnectWiseは被害範囲の調査を進めており、関連サービスを停止しています。
ConnectWiseは、同社のクラウドバックアップ（Cloud Backup）プラットフォームに紐づく認証情報が侵害され、顧客のテナントへの認証に悪用されたことを受け、主要なクラウドサービスを停止し、顧客のMicrosoft 365環境への不正アクセスについて調査を進めています。Huntressは、162組織で不審なサインインを確認しました。
この不正アクセスでは、Cloud Backupアプリケーションが、ConnectWise自身のテナントに関連付けられた認証情報を使ってMicrosoft Graphのアクセストークンを取得していました。セキュリティ企業のHuntressは、10月16日19時00分（UTC）時点で、162テナントにわたる不正なサインインを確認したとしています。
Huntressによると、このアプリケーションは10月15日のUTC 06時13分から08時34分にかけて、IPアドレス144.172.64[.]128から認証を行いました。このアドレスはホスティング事業者のものであり、アプリケーションが通常通信しているAzureのプライベートIPアドレス空間ではありませんでした。これらの認証イベントは、Microsoftのサインインログに記録されていました。
ConnectWiseは今回の事態を認めており、10月17日に7つのアプリケーションIDを無効化しました。あわせて、Cloud Backupのほか、SaaS SecurityとCloud Managementも停止しました。Microsoftは、コメントの求めにすぐには応じませんでした。
同社は10月19日にアドバイザリーを更新し、封じ込め措置の実施後、監視下にある環境では脅威アクティビティの成功を確認していないと説明しました。ただし、各サービスの復旧時期は決まっていません。
ConnectWiseは「既存のバックアップアーカイブは暗号化・隔離された状態を保っており、侵害された形跡はありません」としています。10月19日のアドバイザリー更新では、ダウンストリームのセキュリティ監視で特定された2つのIPアドレス、144.172.64[.]99と144.172.64[.]60が追加されました。
統合用の認証情報が権限昇格に悪用される
ConnectWise Cloud Backupは、Exchange Online、OneDrive、SharePoint、Teamsなど、Microsoft 365の各サービスにまたがる顧客データをバックアップ・復元するため、広範な権限を必要とします。Huntressによると、侵害された認証情報を使えば、ユーザー個人のサインインなしに、アプリケーションが顧客テナント内でMicrosoft Graphトークンを取得できたといいます。
このようなアプリケーションベースの認証には、ユーザーのパスワードは関与せず、通常のログインで求められる多要素認証（MFA）のプロンプトも発生しません。しかも、この認証情報はベンダー自身の環境内に存在します。そのため、顧客が各自のテナントでの操作を通じて生成できたものではありません。
Huntressは、ConnectWiseの2つ目のアプリケーションであるCloud Management for Microsoft Teamsが関与する不審な動きも、1つのパートナーテナントで確認しました。同社によると、このアプリケーションは自らにグローバル管理者ロールを割り当て、他の2つのアプリケーションに認証情報を追加していました。追加先には、そのパートナー専用のHuntressアプリケーションも含まれていました。
この一連の操作に要した時間は約5分でした。Huntressは、各段階の操作が同一の攻撃者によるものかどうかは確認できていないと述べています。
サービス停止で時間は稼げるが、テナント単位の確認は依然として必要
ConnectWiseは、7つのアプリケーションIDを無効化し、影響を受けたアプリケーション接続に関連する証明書を失効させました。同社によると、これらの措置により、無効化された接続を通じた新たな認証は防げます。しかし、顧客テナント内ですでに行われた変更は、自動的には元に戻りません。
同社は、すでに発行されたアクセストークンも、有効期限が切れるか、別の手段で無効化されるまでは使用できる可能性があると付け加えています。
サービス停止の影響はバックアップにとどまりません。Cloud Backupの停止により、スケジュールされたバックアップ、影響を受けたアーカイブへのアクセス、復元機能がいずれも利用できない状態が続いています。SaaS Securityの監視・アラート機能や、Cloud Managementのユーザー・ライセンス管理機能も、対応が続くなかでオフラインになっています。
Huntressは、調査でデータの窃取は確認されていないと説明しています。監査ログを詳細に調べた1つのテナントでは、メールやファイルへのアクセス記録は見つかりませんでした。ただし、これはデータが盗まれていないことの証明にはならないと注意を促しています。Microsoft Graphのディレクトリ読み取りの一部は監査証跡を残さないため、入手可能な記録から調査担当者が確認できる範囲には限りがあるとしています。
両社は、パートナーと顧客の管理者に対し、Microsoft 365環境を点検するよう呼びかけています。ConnectWiseのガイダンスでは、アプリケーションのサインイン、認証情報、ディレクトリロール、同意の付与、ポリシーの変更に加え、メールボックスの転送設定などの永続化の手口がないかを確認するよう求めています。
ConnectWiseはパートナーに対し、正式な復旧手順が示されるまで、影響を受けたアプリケーションを無効のままにしておくよう助言しています。10月19日時点で、調査とサービスの復旧作業は続いています。
