21 października Microsoft Threat Intelligence przypisał kompromitację wielotenantowej aplikacji ConnectWise Cloud Backup grupie Storm-0940 powiązanej z państwem chińskim i podał, że aktor automatyzował atak otwartoźródłowym, wieloagentowym frameworkiem pentestowym ARTEX. Po przejęciu poświadczeń aplikacji próbował zalogować się do ponad 2 250 tenantów Microsoft 365, a w kilku przypadkach od pierwszego kontaktu z celem do uprzywilejowanego dostępu w chmurze minęło mniej niż trzy godziny.
- 151 000 nieudanych logowań, szczyt 2 900 na minutę (11.10)
- 327 kont w ośmiu organizacjach, jeden adres 144.172.64.99
- blokady kont to blisko 98% aktywności
- zero udanych uwierzytelnień
- logowanie service principalem, bez interakcji użytkownika i bez MFA
- rozpoznanie katalogu przez Microsoft Graph
- dodawanie sekretów do aplikacji, zmiany właścicieli i ról
- przypisanie roli Global Administrator
Co widać w telemetrii, a czego nie widać w logach
Pierwsza faza była głośna i nieskuteczna. Między 10 a 14 października infrastruktura pod adresem 144.172.64.99 prowadziła międzytenantowy password spraying na 327 kont w ośmiu organizacjach. Telemetria Microsoftu zarejestrowała ponad 151 000 nieudanych logowań, ze szczytem 11 października na poziomie 2 900 na minutę i ponad 111 000 w jednym dniu. Blokady kont stanowiły blisko 98 procent tej aktywności, a udanego uwierzytelnienia nie było ani jednego.
Druga faza była cicha i skuteczna. Od 15 października ten sam zakres adresów logował się do tenantów klientów poświadczeniami aplikacji, którym tenant wcześniej udzielił zgody. Bez interaktywnego logowania użytkownika, więc bez MFA i bez zdarzenia, którego szuka większość reguł. W części środowisk agenci poszli dalej w Microsoft Graph: rozpoznanie katalogu, dodawanie poświadczeń do aplikacji dla utrzymania dostępu, zmiany tożsamości, grup i ról uprzywilejowanych. Microsoft wypuścił do tego detekcję o nazwie „Application self-assigned Global Administrator role”, opisaną jako sytuacja, w której aplikacja sama przypisała się do roli o wysokich uprawnieniach.
Naprawa u dostawcy nie zamyka tenanta
Nie ma tu numeru CVE i nie ma luki w produkcie Microsoftu. Jest kradzież poświadczeń po stronie dostawcy, więc rotacja haseł we własnej organizacji nie dotyka problemu. ConnectWise wyłączył po swojej stronie siedem tożsamości aplikacji 17 października o 07:00 UTC i unieważnił powiązane poświadczenia, ale w przewodniku naprawczym pisze wprost, że działania po stronie dostawcy nie zmieniają konfiguracji aplikacji korporacyjnej w pojedynczym tenancie. Sekret dodany przez atakującego do aplikacji w Twoim katalogu działa dalej, niezależnie od tego, co naprawił dostawca.
Drobna rozbieżność, która zmienia zakres przeglądu: Microsoft każe zinwentaryzować cztery identyfikatory aplikacji, ConnectWise wymienia siedem tożsamości. Szukaj po identyfikatorach z przewodnika dostawcy, nie po nazwie wyświetlanej, i w każdym tenancie, także tam, gdzie integracja jest martwa od miesięcy. Stan na 23 października, 01:00 UTC: przywracanie usługi idzie fazami, a ConnectWise nadal zaleca trzymanie połączeń wyłączonych do formalnych instrukcji.
Co zrobić w tym tygodniu
- W każdym tenancie, który obsługujesz, znajdź aplikacje korporacyjne po identyfikatorze i zapisz lokalny Object ID service principala. Nie usuwaj aplikacji jako pierwszego odruchu, bo tracisz dowody. Zostaw wyłączoną.
- Przejrzyj logowania service principali, osobno udane i osobno nieudane, od co najmniej 15 października, a jeśli masz zapisy, od 1 października. Nie ograniczaj przeglądu do opublikowanych adresów IP.
- W audycie Entra ID sprawdź dodane poświadczenia aplikacji i service principali, nowych właścicieli, przypisania rół uprzywilejowanych, zmiany metod uwierzytelniania i Conditional Access, a w audycie Microsoft 365 reguły skrzynek, przekierowania poczty i uprawnienia delegowane.
Przy trzeciej godzinie jako czasie dojścia do roli Global Administratora pytanie o detekcję przestaje być pytaniem o alert, a staje się pytaniem o to, kto odbiera alert w nocy i z jakim mandatem. Przy przeglądzie wstecz do 1 października wiele organizacji odbije się od czegoś znacznie prostszego: od retencji własnych dzienników. Jeżeli nie ma ich za ten okres, wynik przeglądu nie brzmi „nic się nie stało”, tylko „nie wiadomo”.