В инциденте ConnectWise атакующий выдал себе права глобального администратора, копирование остановлено

ConnectWise заметила атаку 15 октября, а 17 октября отключила семь идентификаторов приложений и отозвала их сертификаты. По данным Help Net Security, на 19 октября приостановлены Cloud Backup, SaaS Security и Cloud Management: плановые резервные копии не создаются, восстановить данные клиенты тоже не могут. Продукт, ранее называвшийся SkyKick, был куплен в 2024 году и входит в платформу, охватывающую более 100 000 поставщиков управляемых услуг. Поставщик управляемых услуг (MSP) — это компания, которая дистанционно обслуживает информационные системы своих клиентов.

По масштабу цифры расходятся. Huntress подтвердила несанкционированный доступ как минимум в 162 арендаторах Microsoft 365: с адреса атакующего предприняты попытки входа примерно в 1000 учётных записей, более 300 оказались успешными. По информации Bank Info Security, в большинстве случаев атакующий закреплялся в системе в течение пяти минут после первого признака и обрабатывал цели в алфавитном порядке. В одном случае приложение Cloud Management Teams сделало себя глобальным администратором, а затем добавило двум доверенным приложениям, включая собственное приложение Huntress, учётные данные со сроком действия до 2028 года.

Набор целей обращает на себя внимание. Тот же адрес 15 октября обратился и к 16 организациям, работающим по политике, национальной безопасности, торговле и критическим минералам; приложения ConnectWise у них не было, поэтому попытки не удались. Microsoft описала случай как атаку на цепочку поставок. Как утекли учётные данные и кто стоит за атакой, на 19 октября не раскрыто; ConnectWise заявила, что роль уязвимости в продукте пока не установлена.