ConnectWise отключила семь application identities и приостановила сервис Cloud Backup после того, как неизвестные злоумышленники получили несанкционированный доступ к этим идентификаторам приложений и скомпрометировали тенанты Microsoft 365. Провайдер сообщил об этом в субботу, 17 октября 2026 года в 07:00 UTC, и продолжает расследование.
Какие идентификаторы отключены
Отключены семь application identities, перечисленных в уведомлении ConnectWise:
ConnectWise Cloud Backup—506e08f9-6e9a-4da4-942b-a099a03644aeConnectWise Cloud Management—2399d300-6fca-4e6a-a686-399fefe75b83ConnectWise Cloud Management - MS Teams—24205314-2b89-4e07-a2a4-579e898a5640ConnectWise Cloud Management - Exchange Online—b78f6a77-d4e5-46fb-87e5-d1648bd02519ConnectWise Cloud Management - MS Graph—0de14c77-b9b0-4137-9360-34878a929827ConnectWise Cloud Management - Partner Center—412dcf96-176d-4b3a-a1b0-4981ad66971eConnectWise Cloud Management - SharePoint Online—b2b55f5b-7758-4719-8d8f-88ae172e6bdb
Кроме того, ConnectWise приостановила Cloud Backup, отозвав сертификаты, которые использовались для подключений затронутых приложений у всех пользователей. По словам компании, отключение соединений блокирует только новую аутентификацию через них, но не отменяет изменения, уже сделанные внутри тенанта. Общие учётные данные Cloud Backup больше не действительны, однако ранее выданные токены доступа могут оставаться рабочими до истечения срока их действия или отдельного отзыва.
Что это значит для бэкапов и восстановления
Запланированные резервные копии сейчас не выполняются, доступ к затронутым архивам и возможность восстановления из них остаются недоступными. При этом в ConnectWise подчёркивают: существующие архивы зашифрованы, изолированы и сохранены, а свидетельств того, что атакующие их вскрыли или получили к ним доступ, нет.
Из осторожности компания также временно отключила SaaS Security и Cloud Management, пока не завершит проверку инцидента. Проблему ConnectWise выявила 14 октября 2026 года с помощью собственного «advanced cybersecurity monitoring and diligence» и запустила внутреннее и внешнее расследование. По заявлению компании, после принятых мер успешной активности угроз в средах, которые она наблюдает, не зафиксировано, но это не говорит о состоянии клиентских сред, которые она по своему устройству напрямую наблюдать не может.
Пока неясно, способствовала ли компрометации уязвимость в продукте: точный механизм утечки учётных данных ещё анализируется.
Почему кража учётных данных приложения опаснее кражи пароля
Атака опасна тем, что позволяет злоумышленнику использовать учётные данные приложения для доступа к средам Microsoft 365 клиентов, не похищая пароль каждого клиента отдельно. Скомпрометированная учётная запись приложения даёт возможность аутентифицироваться как это приложение и запрашивать токены у Microsoft Entra ID в рамках уже выданных ему разрешений.
В зависимости от прав приложения это потенциально открывает почтовые ящики, документы SharePoint, сообщения Teams и данные каталога. А поскольку приложения ConnectWise работают с широкими правами для резервного копирования и управления, украденная учётная запись позволяет атакующему расширять доступ: добавлять приложение в роль Global Administrator, добавлять client secrets другим доверенным приложениям тенанта, создавать новые приложения и выдавать им разрешения. Client secrets при этом становятся способом закрепиться — вернуть доступ в скомпрометированную среду можно будет даже после отзыва исходных учётных данных.
Вторая волна попыток и данные Huntress
Компания Huntress сообщила The Hacker News, что последние вредоносные входы с исходного адреса зафиксированы 15 октября в 08:45 UTC, а целевая ручная активность продолжалась примерно до 14:20 UTC того же дня. По данным Huntress, новых вредоносных действий после 15 октября не выявлено, но нет и доказательств, что остановка связана с публичным раскрытием инцидента.
Специалисты Huntress заявляют о высокой уверенности, что злоумышленники также нацеливались на приложения ConnectWise Cloud Management для Exchange Online, Microsoft Teams и SharePoint, и подтвердили злоупотребление приложением Teams в одном тенанте. По их словам, эти приложения, судя по всему, не были отключены ConnectWise, поэтому активность могла идти через них.
Поздно в субботу Huntress сообщила о «второй целевой волне попыток» с IP-адреса 144.172.64[.]128 15 октября. Эти попытки охватывали узкий круг из 16 тенантов и оказались безуспешными. Тенанты относятся к сферам политики, национальной безопасности, торговли и критически важных минералов. Первый проход по новым целям касался токенов Graph приложения SkyKick и выполнялся 15 октября с 09:25:04 до 12:35:50 UTC; второй проход по тем же тенантам в тот же день — с 13:54:39 до 14:20:24 UTC, он выглядел ручным и затрагивал Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra и Office 365 Management API.
Всего Huntress выявила почти 1000 тенантов Entra со входами с IP-адреса, связанного с несанкционированной активностью, из них 300 входов оказались успешными. В части тенантов доступа к ним не возникло из-за отсутствия service principal.
Что делать партнёрам
Huntress рекомендует партнёрам следующее:
- проверить собственный тенант Microsoft 365 и каждый управляемый клиентский тенант, включая среды с неактивными подключениями SkyKick;
- сверить статус перечисленных подключений приложений и держать затронутые приложения отключёнными до дальнейших указаний;
- просмотреть входы по всем идентификаторам с 13 октября 2026 года по текущий момент, особенно активность с IP-адреса
144.172.64[.]128; - сохранить доступные записи входов и аудита до начала действий по локализации;
- проверить аутентификацию приложений и пользователей, учётные данные приложений и федеративные доверия, роли каталога, владельцев, выданные согласия и недавние изменения политик;
- искать несанкционированную переадресацию почты, правила для входящих и транспорта, делегированный доступ к ящикам;
- расследовать любые другие идентификаторы, изменённые или использованные во время подозрительной активности.
Huntress также напоминает о контролях Entra, которые снижают ущерб при краже учётных данных приложения: политики управления приложениями позволяют ограничить или запретить client secrets в регистрациях приложений и ограничить срок жизни учётных данных; ограничение числа держателей ролей Application Administrator и Cloud Application Administrator сокращает круг тех, кто может добавлять учётные данные приложениям; Conditional Access для workload identities (требует дополнического лицензирования) ограничивает, откуда приложению разрешено входить, а Microsoft Entra ID Protection помечает рискованные service principals. Ни один из этих механизмов не заменяет проверку учётных данных, но делает внедрённый секрет труднее в использовании или заметнее.
Для российских партнёров и MSP, которые ведут клиентские тенанты Microsoft 365, ситуация означает одно: проверять журналы входов и согласия приложений придётся вручную, а полагаться на заверения вендора о том, что «в наблюдаемых средах активности нет», нельзя — клиентские среды в это наблюдение не входят. Схожие риски цепочек поставок уже разбирались в материалах про атаку на облако SoftBank за семь минут и symlink-гонку в Plesk Backup Manager.
Частые вопросы
Кого касается инцидент?
Партнёров ConnectWise и их клиентов, чьи тенанты Microsoft 365 подключены к Cloud Backup, Cloud Management, SaaS Security, а также к приложениям Cloud Management для Teams, Exchange Online, SharePoint Online, MS Graph и Partner Center.
Что именно отключила ConnectWise?
Семь application identities из списка в уведомлении, а также приостановила Cloud Backup, отозвав сертификаты подключений затронутых приложений у всех пользователей. Дополнительно временно отключены SaaS Security и Cloud Management.
Работают ли сейчас резервные копии?
Нет. Запланированные бэкапы не выполняются, доступ к затронутым архивам и восстановление недоступны. Сами архивы, по данным ConnectWise, зашифрованы, изолированы и не были вскрыты.
Достаточно ли отключить приложение, чтобы выгнать атакующего?
Нет. ConnectWise прямо предупреждает: отключение соединений блокирует только новую аутентификацию и не отменяет изменения, уже сделанные внутри тенанта. Ранее выданные токены могут работать до истечения срока, а добавленные злоумышленником учётные данные и разрешения требуют отдельной проверки и устранения.
Какой IP-адрес искать в журналах?
144.172.64[.]128. По данным Huntress, с него 15 октября шла целевая активность, включая вторую волну попыток по 16 тенантам.
За какой период смотреть входы?
С 13 октября 2026 года по текущий момент — так рекомендует Huntress, с особым вниманием к активности с указанного IP-адреса.
Что проверить в тенанте в первую очередь?
Переадресацию почты, правила для входящих и транспорта, делегированный доступ к ящикам, роли каталога, владельцев приложений, выданные согласия, федеративные доверия и недавние изменения политик. Записи входов и аудита стоит сохранить до начала локализации.
Помогут ли контроли Entra остановить такую атаку?
Они снижают ущерб, но не заменяют проверку учётных данных. Политики управления приложениями ограничивают client secrets и срок их жизни, ограничение ролей Application Administrator и Cloud Application Administrator сужает круг лиц, способных добавлять учётные данные, Conditional Access для workload identities ограничивает источники входа, а Entra ID Protection помечает рискованные service principals.
Известно ли, что стало причиной утечки?
Нет. ConnectWise сообщает, что точный механизм компрометации учётных данных ещё анализируется, и не подтверждает, что причиной стала уязвимость в продукте.
Источник: thehackernews.com