ConnectWise suspend les sauvegardes cloud après une compromission de locataires Microsoft 365

assorted-color security cameras — Lianhao Qu / Unsplash

ConnectWise a annoncé samedi qu'elle a désactivé sept identités d'application ConnectWise dans le cadre de son enquête sur un incident au cours duquel des acteurs de menace inconnus ont obtenu un accès non autorisé aux identités d'application et ont compromis des locataires Microsoft 365. L'entreprise a pris cette mesure le 17 octobre 2026 à 07:00 UTC, ajoutant qu'elle a également suspendu le service Cloud Backup en révoquant les certificats utilisés pour les connexions d'application affectées chez tous les utilisateurs. Les identités affectées ne sont plus valides, mais les jetons d'accès précédemment émis peuvent rester utilisables jusqu'à leur expiration ou leur invalidation. Toute accréditation, permission ou autre accès non autorisé établi par le biais d'identités distinctes nécessite un examen et une remédiation supplémentaires. Les sauvegardes planifiées ne fonctionnent pas, et l'accès aux archives de sauvegarde affectées et aux capacités de restauration reste indisponible. Cependant, les archives existantes restent chiffrées, isolées et préservées, et il n'y a aucune preuve qu'elles aient été violées ou consultées par les attaquants. Par précaution, l'entreprise a temporairement mis hors ligne la sécurité SaaS et la gestion cloud pendant qu'elle termine son examen de l'incident. ConnectWise a identifié le problème le 14 octobre 2026 grâce à sa surveillance et sa diligence avancées en matière de cybersécurité, ce qui l'a amenée à activer des actions internes et externes d'investigation et de réponse à l'incident.

Depuis la mise en œuvre de ces mesures d'atténuation, aucune activité de menace réussie n'a été observée dans les environnements surveillés. Cependant, cela n'établit pas le statut des environnements clients en aval, que, par conception, l'entreprise ne peut pas observer directement. À ce stade, il n'est pas clair si une vulnérabilité du produit a contribué à la compromission des identités d'application. Le mécanisme exact d'exposition des identifiants fait l'objet d'une analyse en cours. L'attaque est particulièrement dangereuse car elle permet à un attaquant d'abuser des identifiants de l'application pour accéder aux environnements Microsoft 365 des clients sans avoir à voler le mot de passe de chaque client individuellement. En utilisant l'identifiant d'application volé pour s'authentifier en tant qu'application, l'attaquant peut demander des jetons d'accès à Microsoft Entra ID en fonction des permissions existantes de l'application. Selon les permissions attribuées à l'application, cela pourrait permettre à l'attaquant d'accéder potentiellement à d'autres services Microsoft, notamment les boîtes aux lettres, les documents SharePoint, les messages Teams et les informations du répertoire. Avec les applications ConnectWise fonctionnant avec des permissions étendues pour effectuer des tâches de sauvegarde et de gestion, le vol de l'identifiant permet à l'acteur de menace de s'authentifier en tant qu'application elle-même et d'étendre son accès en l'ajoutant au rôle d'administrateur global, en ajoutant des secrets clients à d'autres applications de confiance dans le locataire, et en créant de nouvelles applications et en leur accordant des permissions.

De cette manière, les secrets clients offrent un moyen de s'authentifier en tant qu'application et d'établir une persistance, fournissant un moyen alternatif de regagner l'accès à l'environnement compromis même si l'identifiant compromis d'origine est ultérieurement révoqué. Huntress a déclaré qu'elle n'avait pas identifié de nouvelle activité malveillante depuis le 15 octobre, mais qu'il n'y avait aucune preuve que l'arrêt soit le résultat d'une divulgation publique. Huntress a identifié une « deuxième vague ciblée de tentatives » provenant de l'adresse IP « 144.172.64[.]128 » le 15 octobre. Ces efforts, qui ont ciblé un éventail restreint de 16 locataires, ont été infructueux. Les locataires sont dans les secteurs de la politique, de la sécurité nationale, du commerce et des minéraux critiques. En tout, le fournisseur de services de sécurité gérés a identifié près de 1 000 locataires Entra avec une activité de connexion provenant de l'adresse IP associée à l'activité non autorisée, dont 300 ont réussi. Malgré les connexions réussies, l'absence d'un principal de service dans certains locataires aurait empêché l'acteur de menace d'accéder à ces locataires.