ConnectWise、サイバー攻撃を受けクラウドサービスを停止

ConnectWiseは、攻撃者が侵害された認証情報を悪用して顧客のM365テナントにアクセスしたことを受け、Cloud Backup、SaaS Security、Cloud Managementの各サービスの復旧を急いでいます。

同社は、不審なアクティビティの調査を開始してから約12時間後の10月17日、Cloud Backupサービス（旧SkyKick）を停止しました。

同社は声明で、「ConnectWise Cloud Backup環境内のアプリケーションIDに対する不正アクセスを最近確認しました。Cloud Backupのパートナーとそのクライアントを保護するための措置として、Cloud Backupのアプリケーションアクセスを遮断しています」と述べています。

翌日には、緩和策を実施するため、SaaS SecurityとCloud Managementも停止することを決定しました。顧客のバックアップは暗号化されて保護されており、不正アクセスを受けた形跡もないとしています。

この封じ込め措置により、スケジュールされたバックアップ、アーカイブへのアクセス、リストアのほか、SaaS Securityの監視とアラート、Cloud Managementのユーザー管理とライセンス管理にも引き続き影響が出ています。ConnectWiseは、復旧の見通しを示していません。

一方で同社は、侵入に使われたIPアドレスの情報を公開しました。MSP（マネージドサービスプロバイダー）のMicrosoft 365環境を確認するためのガイダンスも公表しています。

サイバーセキュリティ企業のHuntressによると、侵害されたCloud Backupの認証情報は、10月15日にMicrosoft 365テナントへのアクセスに使われました。

Cloud BackupのIDは、10月15日から10月16日にかけて、162のMicrosoft 365テナントにサインインしているのが確認されました。

Huntressは次のように説明しています。「認証そのものは確実です。各テナントにあるMicrosoft自身のサインインログに記録されています。認証情報の種類はクライアントアサーションで、これはベンダー自身のテナント内に認証情報が存在することを意味します。顧客が自環境で何をしても、生じ得ないものです」

このアクティビティは、10月13日から10月14日にかけて、4つの法律事務所のテナントに対するパスワードスプレー攻撃やスクリプトによるサインイン試行に使われたのと同じIPアドレスから発信されていました。

Huntressは、ある顧客テナントで、Microsoft Teams向けのConnectWise Cloud Managementアプリが10月15日にグローバル管理者ロールへ自らを追加したことを観測しました。その後、Pythonスクリプトが実行され、MSPの管理アプリケーションとHuntress自身のアプリケーションに新しいクライアントシークレットが追加されました。

これは攻撃者のIPアドレスからの最初のサインインの約2時間半前に起きました。このときのアクセスは、当該IPアドレスではなくMicrosoftの内部クラウドネットワークから行われていました。Huntressは、2つのフェーズが同一の攻撃者によるものだとは結論づけていないとしています。

Huntressは次のように指摘しています。「このアプリの認証情報は敵の手に渡っています。10月15日のUTC 06:13から08:34の間に、144.172.64[.]128から顧客テナント内のMicrosoft Graphトークンを取得するために使われました。攻撃者はGUIの昇順にテナントを数秒間隔で移動しており、ターゲットリストに基づいて動作するスクリプトの存在がうかがえます」

10月17日までに、Huntressは攻撃者のIPアドレスからのサインインアクティビティを、ほぼ1,000のEntraテナントで確認しました。そのうち300超のサインインが成功しています。ただし、サインインが成功しても、常にアクセスできたわけではありません。該当するConnectWiseのサービスプリンシパルがないテナントには、攻撃者は侵入できませんでした。

Huntressは、攻撃者がConnectWise Cloud ManagementのExchange Online、MS Teams、SharePoint Onlineの各アプリケーションも侵入に悪用したと、高い確度で判断しています。この3つはいずれもConnectWiseが停止しました。

CoreViewのセキュリティ戦略担当VPであるKasper Lindgaard氏は、次のように述べています。「ConnectWiseは攻撃を止めました。しかし残念ながら、攻撃者がMicrosoft 365の設定を変更していないか、テナント内に永続化の手段を確立していないかを確認する責任と困難な作業は、各企業に残されています。IT部門のリーダーの3分の1超が、Microsoftが構成を自動的にバックアップしていると誤解しており、こうした攻撃からの復旧はなおさら難しくなります」