Nessuna password rubata, nessuna MFA aggirata: gli attaccanti si sono presentati come l'app di backup di ConnectWise, con i permessi che i clienti le avevano già dato.
Chi può leggere la posta della tua azienda senza fare login? Se usi un servizio di backup per Microsoft 365, la risposta è: il fornitore. E da qualche giorno anche chi è riuscito a mettere le mani sulle sue credenziali.
Cosa è successo
Il 17 ottobre ConnectWise ha bloccato l'accesso a Cloud Backup, il servizio di backup per Microsoft 365 nato come SkyKick. Il motivo sono degli accessi non autorizzati alle sue identità applicative, cioè gli account con cui l'app si collega ai tenant dei clienti per copiare mail, OneDrive, SharePoint e Teams. Le prime attività sospette risalgono al 13-14 ottobre, con tentativi di accesso via script. Il 15 l'attacco è entrato nel vivo. Huntress, che monitora molti di questi ambienti, conta almeno 162 tenant compromessi. ConnectWise ha disattivato sette applicazioni e ha messo offline anche i servizi SaaS Security e Cloud Management. Per ora non si sa come gli attaccanti abbiano ottenuto i segreti del fornitore.
Perché l'MFA non è servita
Qui nessun utente ha inserito una password. L'attaccante si è autenticato direttamente come l'applicazione, usando il suo segreto: una specie di password tecnica che le app usano per parlare con Microsoft. L'autenticazione a più fattori protegge le persone, non le app. E l'app aveva già permessi enormi, concessi dai clienti al momento dell'attivazione. Tra questi c'era Directory.ReadWrite.All, che permette di modificare quasi tutto nella directory aziendale. In alcuni tenant le applicazioni compromesse si sono assegnate da sole il ruolo di Exchange Administrator. In un caso sono arrivate a Global Administrator in circa cinque minuti, e hanno aggiunto credenziali ad altre app per tenersi un accesso di riserva.
Cosa fare adesso
Se il tenant ha mai usato SkyKick o ConnectWise, i controlli da fare sono concreti. In Entra ID, verificare gli accessi delle applicazioni (service principal) di Cloud Backup e Cloud Management: nei tenant più vecchi possono chiamarsi ancora SkyKick Cloud Manager. Disattivare quelle app. Controllare segreti e certificati di tutte le applicazioni aggiunti dal 13 ottobre in poi e rimuovere quelli non riconosciuti. Rivedere assegnazioni di ruoli, consensi OAuth e attività Graph. Un dettaglio importante: disattivare un'app blocca i nuovi token, ma quelli già emessi restano validi fino alla scadenza. E revocare le sessioni degli utenti non chiude gli accessi delle applicazioni.
ConnectWise dice di non avere indizi di compromissione dei dati di backup, che restano cifrati e isolati. Nel frattempo, però, i backup programmati sono fermi. Resta ancora da capire quanti dati siano stati davvero letti o copiati dai tenant.
Fonte: BleepingComputer
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Di questa storia mi colpisce un dettaglio più dei numeri: l'MFA, su cui abbiamo insistito tanto negli ultimi anni, qui non c'entrava proprio. Nessuno ha cliccato il link sbagliato. L'attaccante è entrato dalla porta di servizio con un badge vero, rilasciato anni prima dal cliente stesso a un fornitore di cui si fidava. Quando faccio un assessment su un tenant Microsoft 365, la sezione Enterprise Applications è quasi sempre la parte più trascurata. Ci trovo app autorizzate nel 2019 per una prova, integrazioni di gestionali dismessi, tool dell'MSP precedente. Spesso hanno permessi da amministratore e nessuno sa più a cosa servano. Il backup, poi, per definizione deve vedere tutto. È il motivo per cui lo si compra, ed è anche il motivo per cui fa così gola.
In concreto consiglio tre cose. Un inventario delle applicazioni con un responsabile per ciascuna. Permessi ridotti al minimo che il servizio richiede davvero. Un alert ogni volta che un service principal si assegna un ruolo o riceve nuove credenziali. Esistono anche criteri di accesso condizionale per le identità applicative, ma richiedono licenze dedicate e un po' di lavoro: lo dico apertamente, non si sistema in un pomeriggio. C'è poi un punto che nessun cliente può controllare da solo, cioè come il fornitore custodisce i propri segreti, e qui ancora non sappiamo come siano usciti. È proprio la sicurezza della catena di fornitura su cui insiste la NIS2. Casi come questo hanno sempre la stessa forma: nessuno forza la serratura, si usa una chiave consegnata in buona fede che da anni nessuno ha più guardato.