Sauvegarde ConnectWise : un secret volé a ouvert aux pirates 162 environnements Microsoft 365

Le 15 octobre, un administrateur Microsoft 365 reçoit une alerte de son outil de gestion des accès à privilèges : l'application SkyKick vient de se donner le rôle d'administrateur Exchange. Selon son message sur Reddit, rapporté par BleepingComputer, il n'utilisait plus cette application depuis des années. Il n'est pas le seul dans ce cas.

Ce jour-là, une attaque d'ampleur frappe les clients de ConnectWise Cloud Backup, l'ancien SkyKick Cloud Backup. Le 16 octobre à 19 h UTC, la société de sécurité Huntress avait confirmé des connexions non autorisées dans 162 environnements Microsoft 365 (des « tenants »). Le 17 octobre à 5 h 01 UTC, ConnectWise a coupé l'accès des partenaires et des clients au service, sans dire quand il reviendrait. Selon BleepingComputer, Microsoft parle d'une attaque active contre la chaîne d'approvisionnement.

Comment un outil de sauvegarde devient une porte d'entrée

Pour sauvegarder les e-mails, les fichiers OneDrive et SharePoint ou les conversations Teams, Cloud Backup a besoin d'une identité d'application dans Entra ID, l'annuaire de Microsoft. Chaque client lui accorde des droits de lecture et d'écriture étendus. Selon Huntress, l'attaquant a récupéré un identifiant de cette application : un secret qui se trouve chez ConnectWise, pas chez les clients. « Rien de ce qu'un client a pu faire dans son environnement n'aurait pu le produire », écrit Huntress.

Les chercheurs de Todyl précisent que l'attaquant s'est connecté directement sous l'identité de l'application de sauvegarde. Aucun utilisateur ne se connectait : l'authentification multifacteur (MFA) n'avait donc aucune occasion de s'appliquer.

Quatre jours d'attaque

Huntress a reconstitué la chronologie. Les 13 et 14 octobre, l'adresse IP 144.172.64[.]128 tente de deviner des mots de passe dans quatre cabinets d'avocats, sans succès. Le 15 octobre à partir de 1 h 58 UTC, les applications Cloud Management de ConnectWise s'attribuent des rôles d'annuaire dans une cinquantaine d'environnements suivis par Huntress. L'entreprise n'a pas encore pu vérifier avec ConnectWise si ces changements étaient légitimes. Dans un environnement, l'application Cloud Management pour Teams de ConnectWise se donne le rôle d'administrateur général en quelques minutes. Elle ajoute ensuite de nouveaux secrets à deux autres applications, dont celle de Huntress elle-même. Ces secrets sont valables jusqu'en 2028.

Dans sa mise à jour du 17 octobre, Huntress estime avec « une confiance élevée » que trois autres applications de ConnectWise ont été détournées : Cloud Management pour Exchange Online, MS Teams et SharePoint Online. À ce moment-là, ConnectWise ne les avait pas désactivées.

Des données ont-elles été volées ? Personne ne peut le dire à ce stade. ConnectWise affirme n'avoir « aucun indice » que les sauvegardes de ses partenaires aient été compromises. Dans l'environnement qu'il a analysé en détail, Huntress ne voit aucun accès aux e-mails ni aux fichiers. Il rappelle pourtant que certaines lectures de l'annuaire par Microsoft Graph ne laissent aucune trace dans les journaux. On ne sait pas non plus comment le secret a été dérobé.

Que faire si vous utilisez ConnectWise ou SkyKick ?

Comme pour la faille BeyondTrust, le danger vient ici d'un outil de confiance qui dispose de droits étendus. Huntress recommande notamment les mesures suivantes :

• Désactiver, sans les supprimer, les applications Cloud Backup (identifiant 506e08f9-6e9a-4da4-942b-a099a03644ae) et Cloud Management. Dans les environnements anciens, elles peuvent s'appeler « SkyKick Cloud Manager ». Gardez-les désactivées tant que ConnectWise n'a pas confirmé le renouvellement de tous ses identifiants.
• Consulter l'onglet Service principal sign-ins des journaux de connexion d'Entra : la vue par défaut, celle des utilisateurs, ne montre pas ces connexions. Recherchez l'adresse 144.172.64[.]128.
• Passer en revue les secrets et certificats de toutes vos applications ajoutés depuis le 13 octobre, en priorité ceux des outils d'administration et de sécurité.
• Retirer les rôles d'annuaire inattendus et vérifier les exceptions de vos règles d'accès conditionnel.

Todyl rappelle un point important : désactiver l'application empêche d'obtenir de nouveaux jetons, mais les jetons déjà émis restent valables jusqu'à leur expiration. Désactiver l'application suspend aussi les sauvegardes. Selon Huntress, les sauvegardes déjà stockées par ConnectWise ne sont pas supprimées.

Il reste désormais à savoir comment le secret est sorti de chez ConnectWise, et combien d'environnements ont été visités au-delà de ceux que Huntress surveille.