ConnectWiseの顧客にサプライチェーン攻撃、侵害されたAPIシークレットが原因か

ConnectWiseの顧客の一部は数日間にわたって影響を受け続けており、数百件が侵害されています。同社はクラウドバックアップサービスの復旧作業を続けていますが、顧客が再びアクセスできるようになる時期は確認されていません。

同社は土曜日、複数のサービスを一時停止しました。脅威アクターが、顧客が同社のアプリケーションとMicrosoft 365環境を接続するための極めて機密性の高い認証情報にアクセスしたためです。 

Huntressによると、身元不明のこの脅威アクターはアプリケーションプログラミングインターフェース(API)シークレットを悪用し、ConnectWise Cloud Backupの複数の顧客のMicrosoft 365アプリケーションを侵害しました。対象にはExchange Online、Microsoft Teams、SharePoint Online、Cloud Backup、MS Graph、Partner Centerが含まれます。

研究者らは金曜日に最初の攻撃の波を確認しました。Huntressでプリンシパル・セキュリティオペレーション・アナリストを務めるJonathan Semon氏はCyberScoopの取材に対し、土曜日の夜までに「約1,000のEntraテナントで、悪意あるインフラからのサインイン活動を確認した。このうち300件超は成功したとみられる」と述べました。

主に中小企業を支援するHuntressは、162のテナントで不正なサインインを確認したと発表しました。同社のテレメトリー外でも、さらなる侵害が発生している可能性が高いとしています。 

ConnectWiseは、研究者が最初の不正サインインの波を確認してから約2日後に、Cloud Backup、SaaS Security、Cloud Managementの各サービスを停止しました。 

同社の広報担当者はメールで、「ConnectWiseは、旧SkyKickであるConnectWise Cloud Backupに関連するアプリケーションIDへの不正アクセスについて、調査と対処を続けている」とコメントしました。

同社はセキュリティアドバイザリで、「当社は環境全体を24時間体制で監視している。10月17日5時00分(UTC)に緩和措置を開始して以降、監視対象の環境で脅威activityの成功は確認されていない。ただし、個々のパートナーや顧客のMicrosoft 365テナントが影響を受けたかどうかは、これでは判断できない。影響を受けた可能性のあるテナントは、いずれも確認が必要だ」と説明しています。

Microsoft Threat Intelligenceは、10月15日に悪意あるIPアドレスからの広範なサインイン成功を確認したといいます。同社はLinkedInの投稿で、「後続の活動として、Microsoft Graph APIによる偵察や、対象テナント内の関連サービスプリンシパルに追加の認証情報を登録する試みがあった。バックドアとして直接のアクセスを維持する狙いとみられる」と述べました。 

侵害の根本原因とその後の影響については調査中です。ConnectWiseは、攻撃者がConnectWise Cloud Backupの認証情報をどう入手したのかという質問への回答を拒否しました。

HuntressとTodyl(独自に調査を実施)の研究者らは、このシークレットとその権限の連鎖を極めて重大なものだと位置づけています。

Semon氏は、「マルチテナントのアプリケーションであるため、この認証情報を持つ者は誰でも、アプリケーションがインストールされたあらゆるテナントでアクセストークンを要求できる。顧客側の操作は不要だ」と説明しました。

Todylはブログ記事で、自動化ツールによるサインインにより、攻撃者はMicrosoft 365の各種アプリケーションにわたってメールやファイルを読み書きする技術的な能力も得たと指摘しています。 

ConnectWise Cloud Backupの認証情報が付与していた高い権限により、攻撃者は多要素認証を含むセキュリティ制御を回避し、追加のアクセスを確立できました。

Semon氏は「侵害後の活動を確認したテナントでは、アプリケーションに関連付けられたアカウントが自ら権限を昇格させ、テナント内の他のアプリケーションに新しい認証情報を追加していた。これにより、元のアプリケーションが無効化された後もアクセスを維持できてしまう」と語りました。

ConnectWiseと研究者らは、今回の攻撃を既知の脅威アクターによるものとは特定しておらず、犯行声明を公に出した者もいません。同社は復旧作業を続けているとしていますが、顧客が再びアクセスできる時期の見通しは示していません。

ConnectWiseと研究者らは、影響を受けた可能性のある顧客が自社システム内の不正な活動を調べられるよう、侵害指標(IoC)を共有しました。同社や、確認された攻撃に対応しているサードパーティ企業は、ログに異常が見当たらなくても、影響を受けたアプリケーションを無効化するよう顧客に促しています。