Supplychain-aanval via ConnectWise Cloud Backup raakt tal van bedrijven

[Captain Kirk]

Een supplychain-aanval via ConnectWise Cloud Backup, eerder nog bekend als SkyKick, heeft tal van bedrijven en andere organisaties geraakt, zo meldt cybersecuritybedrijf Huntress. Microsoft heeft inmiddels ook een waarschuwing voor de aanval afgegeven. ConnectWise heeft toegang van de Cloud Backup applicatie uitgeschakeld, wat gevolgen heeft voor de back-updiensten waar klanten gebruik van maken.

ConnectWise Cloud Backup is een back-up- en recoverydienst waarmee managed serviceproviders (MSP's) de Microsoft 365- en Google Workspace-data van hun klanten beschermen. De applicatie krijgt hiervoor brede toegang tot de mailboxes, OneDrive, SharePoint, Teams en directory data van elke omgeving waarin de applicatie is geïnstalleerd.

Aanvallers hebben de OAuth-app van de ConnectWise Cloud Backup gecompromitteerd, om zo access tokens van klanten te stelen en toegang tot hun omgevingen te krijgen, aldus Microsoft. Met deze tokens kunnen de aanvallers mailboxes, bestanden en directory data lezen, net als de back-upsoftware kan. Huntress meldt dat de omgevingen van meer dan 170 organisaties op deze manier zijn gehackt.

Microsoft meldt dat de aanvallers aan de gehackte omgevingen credentials voor de service principal toevoegen om toegang te behouden. Organisaties worden onder andere opgeroepen om logins van de service principal te controleren. Huntress stelt dat de aanvaller ook de M365-applicaties van ConnectWise Cloud Management voor Exchange Online, MS Teams en SharePoint online heeft gecompromitteerd.

 

bron: https://www.security.nl