ConnectWise sospende Cloud Backup e servizi collegati dopo un accesso non autorizzato

• ConnectWise ha sospeso Cloud Backup (ex SkyKick), SaaS Security e Cloud Management dopo un accesso non autorizzato
• Huntress: API secret M365 compromessa e usata per accedere agli ambienti dei clienti
• Al 18 ottobre i servizi erano ancora fermi: niente backup né ripristino
• Rivedere le credenziali di tutte le app M365: disattivarle non rimuove quelle già aggiunte

ConnectWise, fornitore di software per i managed services provider (MSP), ha avviato una «interruzione del servizio» per alcune delle sue offerte. Il 15 ottobre ha individuato un accesso non autorizzato a identità applicative nell’ambiente ConnectWise Cloud Backup. L’avviso ufficiale è stato pubblicato il 16 ottobre.

Quali servizi sono fermi

L’interruzione riguarda partner e clienti di Cloud Backup, già noto come SkyKick. SaaS Security e Cloud Management sono integrati con Cloud Backup e sono stati sospesi anche loro, in via precauzionale, mentre proseguono indagini e bonifica.

Alle 16:00 UTC del 18 ottobre i servizi risultavano ancora non disponibili. Gli utenti non possono quindi eseguire backup, accedere agli archivi o ripristinare i dati. ConnectWise ha disattivato anche alcune integrazioni tra Cloud Backup e Exchange, Teams, SharePoint Online e altri suoi prodotti.

La sospensione non implica che gli ambienti di MSP e clienti siano stati compromessi. Indica che ConnectWise non è sicura di poter gestire i servizi in sicurezza. Jason Ferguson, vice president of security operations, ha scritto su Reddit che gli archivi esistenti restano cifrati, isolati e conservati, senza evidenze di accessi non autorizzati.

La ricostruzione di Huntress

ConnectWise ha fornito pochi dettagli. Ha pubblicato alcuni indicatori di compromissione legati a un numero ristretto di indirizzi IP e a integrazioni con app di terze parti. Ha anche dichiarato di non poter parlare di attribuzione dell’attacco.

Huntress, società di sicurezza, offre un quadro più netto. Secondo l’azienda è stata compromessa una credenziale Microsoft 365 (API secret) di ConnectWise Cloud Backup. Huntress afferma di aver confermato che viene usata per accedere senza autorizzazione agli ambienti M365 dei clienti.

In un tenant di un partner di Huntress, un’altra applicazione, ConnectWise Cloud Management – MS Teams (Application ID 24205314-2b89-4e07-a2a4-579e898a5640), si sarebbe assegnata il ruolo di Global Administrator. Avrebbe poi aggiunto nuove credenziali a due altre applicazioni del tenant. Una era un’applicazione Huntress single-tenant, specifica di quel partner.

Cosa fare

• ConnectWise chiede ai clienti di verificare i propri ambienti M365 alla ricerca di segni di compromissione.
• Huntress avverte che disattivare le app M365, comprese quelle ConnectWise abusate, non rimuove le credenziali già aggiunte.
• Per Huntress occorre rivedere le credenziali di tutte le applicazioni M365.

Il nodo della filiera degli MSP

ConnectWise non conosce gli ambienti M365 dei clienti finali. Sono gli MSP a gestirli, e per questo l’azienda deve contare sulla loro collaborazione. Gli MSP non sono tenuti a dichiarare le piattaforme che usano. Molte organizzazioni finali potrebbero quindi ignorare di dipendere da ConnectWise e ritrovarsi in una posizione scomoda.

I fornitori di servizi agli MSP sono un bersaglio frequente, perché compromettere uno di loro può aprire la strada ai partner e ai loro clienti. L’esempio più noto è l’attacco a Kaseya del 2021.

Indicatori di compromissione (IoC)

24205314-2b89-4e07-a2a4-579e898a5640

Fonte: theregister · Foto: theregister