ConnectWise、サプライチェーン攻撃を受けクラウドバックアップサービスを停止

IT管理ソフトウェア企業のConnectWiseは今週末、同社のクラウドバックアップシステムに影響を及ぼすサプライチェーン攻撃についてMicrosoftなどのサイバーセキュリティ企業が警告を発したことを受け、複数のサービスを停止しました。 

ConnectWiseは当初、金曜日に「ConnectWise Cloud Backup環境に関連する不正アクセスの試み」を調査中と発表し、土曜日にそのアクセスを確認しました。  

サイバーセキュリティ企業Huntressのインシデント対応担当者は、ConnectWise Cloud Backupに属する認証情報が侵害され、顧客のMicrosoft 365環境へのアクセスに悪用されたと説明しています。 

Microsoftも独自の声明で、攻撃者が「顧客がこのアプリケーションに以前付与していた権限を悪用した可能性が高い。これにはDirectory.ReadWrite.Allのような非常に高い権限も含まれる」と確認しました。 

ConnectWise Cloud Backupは、Microsoft 365とGoogle Workspaceのデータ保護を支援するクラウド型のバックアップ・復元サービスです。Huntressによると、このツールはメールボックス、OneDrive、SharePoint、Teamsなどのデータに幅広くアクセスする必要があります。 

盗まれたConnectWise Cloud Backupの認証情報を使う攻撃者は、このアプリがインストールされたあらゆるシステムに広範にアクセスできます。その中には、痕跡が一切残らない場所も含まれます。 

ConnectWiseは、攻撃者や影響を受けた顧客の数についてのコメント要請に応じていません。広報担当者はRecorded Future Newsに対し、バックアップデータが侵害された「兆候はない」と述べました。

現在のサービス中断は、クラウドバックアップシステムのほか、SaaS SecurityおよびCloud Managementプラットフォームにも及んでいます。 

広報担当者は「侵害が判明した認証情報とIDは修復済みです。認証の監視、権限の確認、フォレンジック分析は引き続き行っています」と述べました。

ConnectWiseは土曜日から日曜日にかけて複数回の更新を行い、影響を受けたアプリケーション接続で使われていた証明書を全ユーザーについて失効させたと説明しました。これにより、これらの接続を通じたConnectWiseのアクセスは遮断されました。Cloud Backupでこれまで使われていた共有認証情報もすべて無効となり、使用できません。 

同社は、パートナーや顧客の環境は可視化できないため、特定の顧客のMicrosoft 365環境が侵害されたかどうかは判断できないとしています。

各種の対策を講じて以降、攻撃活動の成功は確認されていないとConnectWiseは述べています。サービスの復旧時期は未定だと、広報担当者は説明しました。 

波状的に続いた攻撃 

Huntressのインシデント対応担当者によると、10月13日と14日に4つの法律事務所を狙ったパスワードスプレー攻撃を確認しました。10月15日までに、Huntressが監視する約50のシステムで、攻撃者がConnectWiseのCloud Managementアプリを使って自らにディレクトリロールや管理者ロールを割り当てていました。 

Huntressは合計162のテナントで不正なサインインを確認しました。また、「政策、国家安全保障、貿易、重要鉱物の各分野」のシステムを狙った第2波の標的型攻撃も確認しており、その大半は失敗に終わっています。 

Huntressは「下記の最初のブログで説明した第1波の活動とは異なり、これらのテナントの大半はConnectWise製品を利用していません。関連するConnectWiseのサービスプリンシパルがないテナントでは、アプリケーションが存在しないため、試行は失敗しました」と説明しています。 

Microsoftやその他のサイバーセキュリティ企業も、Huntressと同様に、10月15日から「広範な」攻撃を観測したとしています。

Huntressは、ConnectWise Cloud Backupのようなバックアップサービスは、データを複製して復元するために、通常はメール、ファイル、Teams、ディレクトリデータへの読み取りアクセス権を持っていると警告しました。 

Huntressは「より大きなリスクは、そのアクセス権を使ってさらに権限を広げられることです。アプリケーションがディレクトリロールを割り当てられる場合、あるテナントで確認されたように、自らをグローバル管理者にできます。管理者は、他のアプリケーションに認証情報を追加したり、新しいアプリケーションを作成して権限を付与したり、ユーザーのパスワードや認証方法をリセットしたり、条件付きアクセスポリシーを変更したりできます」と付け加えました。 

「こうした各ステップは、元のベンダー認証情報に頼らない新たな侵入経路を攻撃者に与えます。ベンダー認証情報のローテーションが必要でありながら、それだけでは不十分なのはこのためです」

Huntressは、マネージドサービスプロバイダーでは影響がさらに深刻になりうると指摘しています。攻撃者が1社の顧客に築いた足場を使い、他のすべての顧客にアクセスする恐れがあるためです。 

ConnectWiseは過去にも複数のセキュリティインシデントに見舞われています。昨年は、リモート管理・監視ソフトウェアに対する国家支援型の攻撃があり、一部の顧客に影響が出ました。

以前には、サイバー犯罪者が同社製品の複数の脆弱性を悪用し、ランサムウェア攻撃につながったこともあります。