IT管理ソフトウェア会社ConnectWiseは、マイクロソフトや他のサイバーセキュリティ企業が同社のクラウドバックアップシステムに影響を与えるサプライチェーン攻撃について警告したことを受け、今週末、いくつかのサービスを停止した。
ConnectWiseは当初、金曜日に「ConnectWise Cloud Backup環境に関連した不正アクセスの試み」を調査していると発表し、土曜日にそのようなアクセスを確認した。
サイバーセキュリティ企業ハントレスのインシデント対応担当者は、ConnectWise Cloud Backupに属する資格情報が侵害され、顧客のMicrosoft 365環境へのアクセスを取得するために使用されたと述べた。
Microsoftは自社の声明の中で、攻撃者が「Directory.ReadWrite.Allなどの高度な権限を含め、以前に顧客からアプリケーションに付与された権限を悪用した可能性がある」と認めた。
ConnectWise Cloud Backup は、Microsoft 365 と Google Workspace のデータを保護するために設計されたクラウドベースのバックアップおよび回復サービスです。 Huntress 氏によると、このツールにはメールボックス、OneDrive、SharePoint、Teams、その他のデータへの広範なアクセスが必要です。
盗んだ ConnectWise Cloud Backup 資格情報を使用する攻撃者は、本質的に、証拠が残らない場所も含め、アプリがインストールされているあらゆるシステムに広範囲にアクセスできることになります。
ConnectWiseは、攻撃者や影響を受けた顧客の数についてのコメント要請に応じなかった。広報担当者はRecorded Future Newsに対し、バックアップデータが侵害されたという「兆候はない」と語った。
現在のサービス中断は、クラウド バックアップ システム、SaaS セキュリティ、クラウド管理プラットフォームに適用されます。
「私たちは、侵害されたと特定された認証情報とアイデンティティを修復し、認証の監視、権限のレビュー、フォレンジック分析を継続しています」と広報担当者は述べた。
ConnectWiseは土曜から日曜にかけての複数のアップデートで、影響を受けるアプリケーション接続に使用されている証明書を全ユーザーにわたって取り消したと発表した。これにより、これらの接続を介した ConnectWise のアクセスが削除され、以前にクラウド バックアップに使用されていたすべての共有認証情報は無効になり、使用できなくなります。
同社は、パートナーや顧客の環境を把握できないため、特定の顧客の Microsoft 365 環境が侵害されたかどうかを判断できないと述べた。
コネクトワイズは、さまざまな措置を講じて以来、脅威活動の成功は確認されていないと述べた。広報担当者によると、サービス復旧の目途は立っていないという。
波状攻撃
ハントレスのインシデント対応担当者らは、最初に4つの法律事務所に対するパスワードスプレー攻撃を確認したのは10月13日と14日だったと述べた。10月15日までに、ハントレスが監視している約50のシステムで、攻撃者がConnectWiseのクラウド管理アプリを使用して自分自身にディレクトリや管理者の役割を割り当てているのが確認された。
ハントレスは合計 162 のテナントで不正なサインインを確認しました。ハントレス氏はまた、「政策、国家安全保障、貿易、重要鉱物分野」のシステムを標的とした、ほとんど失敗に終わった標的型攻撃の第2波も目撃した。
「以下の最初のブログで概説した活動の第 1 波とは異なり、これらのテナントのほとんどは ConnectWise 製品に依存していません。関連する ConnectWise サービス プリンシパルを持たないテナントでは、アプリケーションが存在しないため、試行は失敗しました」とハントレス氏は説明しました。
ハントレス氏と同様、マイクロソフトや他のサイバーセキュリティ企業は、10月15日から「広範な」攻撃を観察したと述べた。
ハントレス氏は、ConnectWise Cloud Backupのようなバックアップサービスは通常、メール、ファイル、チーム、ディレクトリデータへの読み取りアクセスを保持しているため、それらをコピーしたり復元したりできると警告した。
「より大きなリスクは、そのアクセスがさらに多くの情報を得るために使用されるときに起こることです。あるテナントで見たように、アプリケーションがディレクトリの役割を割り当てることができれば、アプリケーション自体が全体管理者になることができ、管理者は他のアプリケーションに資格情報を追加したり、新しいアプリケーションを作成して権限を付与したり、ユーザーのパスワードや認証方法をリセットしたり、条件付きアクセス ポリシーを変更したりすることができます」とハントレス氏は付け加えた。
「これらの各ステップにより、攻撃者は元のベンダーの資格情報に依存しない別の方法で戻ることができます。そのため、ベンダーの資格情報をローテーションすることが必要ですが、それだけでは十分ではありません。」
彼らは、マネージド サービス プロバイダーでは、攻撃者が 1 人の顧客を足場にして他のすべての顧客にアクセスするため、その影響はさらに悪化する可能性があると指摘しました。
ConnectWise は、過去に複数のセキュリティ インシデントに対処してきました。その中には、一部の顧客に影響を与えたリモート管理および監視ソフトウェアに対する国家攻撃に関する昨年の事件も含まれます。
サイバー犯罪者は以前、同社製品の複数の脆弱性を悪用し、ランサムウェア攻撃を引き起こしました。
