ConnectWise Cloud Backup: credenziale compromessa usata su 173 tenant Microsoft 365

• Credenziale di ConnectWise Cloud Backup (ex SkyKick) abusata: accessi non autorizzati in 173 tenant Microsoft 365
• Colpite le organizzazioni che hanno l'app installata; accesso a posta, OneDrive, SharePoint, Teams
• ConnectWise ha chiuso l'accesso all'app; indagine in corso
• Disabilitare l'app, attivare i log Graph e verificare le credenziali aggiunte dal 13 ottobre

Una campagna attiva sfrutta una credenziale compromessa dell’applicazione OAuth di ConnectWise Cloud Backup, ex SkyKick, per entrare senza autorizzazione negli ambienti Microsoft 365 dei clienti. Huntress ha confermato accessi non autorizzati in 173 tenant di partner e clienti. Il fatto è emerso intorno al 15 ottobre 2026 e la vicenda è ancora in evoluzione.

Perché l’app è così sensibile

ConnectWise Cloud Backup è un servizio di backup e ripristino pensato per i managed service provider (MSP), che lo usano per proteggere i dati dei clienti su Microsoft 365 o Google Workspace. Per funzionare, l’applicazione ha un accesso esteso a caselle di posta, OneDrive, SharePoint, Teams e dati della directory in ogni tenant in cui è installata.

Chi controlla la credenziale dell’app ottiene token con gli stessi permessi del servizio. La credenziale funziona contro ogni tenant in cui l’app ha ricevuto il consenso. Secondo Microsoft, l’attore ha probabilmente abusato di permessi già concessi dai clienti, tra cui Directory.ReadWrite.All.

Cosa è stato osservato

Secondo il ricercatore di Huntress Jonathan Semon, i token Microsoft Graph sono stati ottenuti dall’indirizzo 144.172.64[.]128 il 15 ottobre, tra le 06:13 e le 08:34 UTC. L’attore ha scorso i tenant in ordine di GUID, a pochi secondi di distanza: un indizio che fa pensare a uno script basato su una lista di bersagli.

Lo stesso IP aveva condotto password spraying contro quattro tenant di studi legali il 13 e 14 ottobre 2026. Huntress non ha rilevato accessi utente riusciti.

In almeno un tenant di un partner, un’altra app ConnectWise (Cloud Management per Microsoft Teams) si è assegnata il ruolo di Global Administrator. Ha poi eseguito uno script Python che ha aggiunto nuovi client secret a due applicazioni attendibili: un’app di gestione MSP e la Huntress Security Platform. Aggiungere credenziali a un’app MSP può estendere l’accesso oltre il singolo tenant, perché queste app sono spesso autorizzate presso i clienti dell’MSP.

Microsoft parla di attività successive di ricognizione tramite Graph API e di tentativi di aggiungere credenziali al service principal correlato, per mantenere un accesso di backdoor. Huntress segnala inoltre una possibile preferenza per bersagli in ordine alfabetico, con le vittime più interessanti che iniziano per «A».

La risposta di ConnectWise

ConnectWise ha chiuso l’accesso all’applicazione Cloud Backup fino a nuovo avviso. Indagine e rimedi sono in corso. L’azienda dichiara di non aver trovato prove di compromissione dei dati di backup dei partner.

Todyl osserva che revocare le sessioni utente non basta. Disabilitare l’app in un tenant blocca l’emissione di nuovi token, ma quelli già emessi restano validi fino a 90 minuti. I tenant con l’app ancora attiva restano esposti finché ConnectWise non ruota la credenziale.

Cosa fare

• Disabilitare l’applicazione finché ConnectWise non conferma il reset di tutte le credenziali.
• Attivare i log delle attività di Microsoft Graph. Alcune letture della directory via Graph non lasciano tracce di audit.
• Verificare le credenziali aggiunte alle app dal 13 ottobre 2026.
• Controllare nei log di audit di Entra se app ConnectWise o SkyKick si sono aggiunte a un ruolo di directory.
• Nell’Entra Admin Center, aprire Monitoring → Sign-in logs → scheda Service principal sign-ins e filtrare per l’Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Esaminare gli IP fuori dagli intervalli attesi Microsoft/Azure: il traffico normale dell’app esce da IPv6 privati di Azure.
• Rivedere gli accessi dei service principal da IP sconosciuti e le concessioni OAuth, come raccomandato da Microsoft.

Un caso parallelo: AOMEI Backupper

La fonte cita un altro attacco alla supply chain legato ai software di backup. Mandiant, Google Threat Intelligence Group e ManageEngine Threat Analysis Lab descrivono una manomissione «effimera» dell’infrastruttura di aggiornamento di AOMEI Backupper. Tra aprile e luglio 2026 il cluster UNC7017 ha modificato per cinque-dieci minuti alla volta il file di impostazioni sul server di aggiornamento, reindirizzando il download verso un archivio ZIP malevolo. L’archivio contiene il downloader CROSSROAD, che prepara la backdoor modulare SHINYROAD tramite DLL sideloading. Le vittime sono in settori come servizi IT, telecomunicazioni e istruzione superiore, in Australia, Brasile, India, Pakistan, Portogallo, Singapore, Sudafrica, Spagna, Svizzera, Türkiye e Stati Uniti.

Indicatori di compromissione (IoC)

144.172.64[.]128
506e08f9-6e9a-4da4-942b-a099a03644ae
24205314-2b89-4e07-a2a4-579e898a5640
2399d300-6fca-4e6a-a686-399fefe75b83
b78f6a77-d4e5-46fb-87e5-d1648bd02519
0de14c77-b9b0-4137-9360-34878a929827
412dcf96-176d-4b3a-a1b0-4981ad66971e
b2b55f5b-7758-4719-8d8f-88ae172e6bdb
Python-urllib/3[.]12

Fonte: The Hacker News · Foto: The Hacker News