ConnectWise призупинив Cloud Backup після зламу зловмисників у тенантах Microsoft 365

Огляд інциденту

ConnectWise вимкнув сім ідентифікаторів додатків ConnectWise після того, як невідомі зловмисники отримали до них несанкціонований доступ і здійснили компрометацію тенантів Microsoft 365. Крок, який було здійснено 17 жовтня 2026 року о 07:00 UTC, стосується ідентифікаторів, пов'язаних із ConnectWise Cloud Backup та ConnectWise Cloud Management, зокрема окремих підключень MS Teams, Exchange Online, MS Graph, Partner Center і SharePoint Online.

Компанія призупинила сервіс Cloud Backup і скасувала всі сертифікати, що використовувалися для підключень за汉化леного додатка для всіх користувачів. Вимкнення підключень унеможливлює нову авторизацію через них, але не скасовує зміни, раніше внесені в тенант. Раніше видані токени доступу можуть лишатися придатними, доки не спливе термін дії або вони не будуть скасовані іншим чином. Будь-які дані несанкціонованої авторизації, дозволи або інший доступ, встановлений за допомогою окремих ідентифікаторів, потребуватимуть додаткового розгляду та виправлення.

Вплив на сервіс та виявлення

Заплановані резервні копії не виконуються, доступ до постраждалих резервних архівів і можливості відновлення залишаються недоступними. ConnectWise підкреслило, що наявні архіви залишаються зашифрованими, ізольованими та збереженими, і що немає доказів того, що зловмисники отримали до них неавторизований доступ або змінили їх.

З метою особливої обережності компанія тимчасово вимкнула SaaS Security і Cloud Management, доки завершить розслідування. ConnectWise виявила проблему 14 жовтня 2026 року завдяки посиленому моніторингу кібербезпеки та пильності, що спричинило активацію заходів із виявлення та реагування на внутрішній і зовнішній інциденти. Компанія заявила, що після пом'якшувальних заходів у контрольованих нею середовищах успішної активності загрози не зафіксовано, проте попередила, що це не визначає статус середовищ користувачів нижнього рівня, які вона безпосередньо не контролює.

Активність загрози та рекомендації

Huntress повідомила про зловмисні входи з IP-адреси 144.172.64[.]128; останній зафіксований вхід із цієї адреси стався 15 жовтня о 08:45 UTC, а цілеспрямована, ручна активність того ж дня тривала приблизно до 14:20 UTC. Компанія з безпеки заявила, що з високою впевненістю вважає: зловмисник також націлювався на додатки ConnectWise Cloud Management для Exchange Online, Microsoft Teams і SharePoint, і підтвердила зловживання додатком Teams в одному тенанті. Здається, ці додатки ConnectWise не вимкнено, тому від них може надходити додаткова активність.

Huntress виявила приблизно 1 000 тенантів Entra, де зафіксовано активність входу з цієї IP-адреси, з яких 300 були успішними. Друга хвиля цілеспрямованих спроб 15 жовтня виявила вузьке коло з 16 невдалих тенантів у секторах політики, національної безпеки, торгівлі та критичних мінералів. Партнерам рекомендують переглянути власний тенант Microsoft 365 і тенанти кожного керованого користувача, включно з середовищами з неактивними підключеннями SkyKick; перевірити статус підключень перелічених додатків; переглянути входи з IP-адреси 144.172.64[.]128 від 13 жовтня 2026 року; зберегти аудиторські записи до обмеження; і перевірити неавторизовану переадресацію поштових скриньок, зміни ролей каталогу, призначення згоди та вбудовані дані авторизації, такі як секрети клієнта, додані в інших додатках.

Джерела: The Hacker News