A ConnectWise informatikai menedzsment szoftvereket fejlesztő vállalat hétvégén több szolgáltatását leállította, miután a Microsoft és más kiberbiztonsági cégek egy ellátási lánc elleni támadásra figyelmeztettek, amely a cég felhőalapú mentési rendszerét érintette. A vállalat pénteken még vizsgálódott a Cloud Backup környezetéhez kapcsolódó jogosulatlan hozzáférési kísérletek ügyében, majd szombaton megerősítette, hogy ténylegesen történt behatolás. A Huntress incidenskezelői szerint a támadók egy ellopott hitelesítő adattal jutottak be ügyfelek Microsoft 365 környezetébe, a Microsoft pedig arról számolt be, hogy valószínűleg visszaéltek azokkal a széles jogosultságokkal, amelyeket az ügyfelek korábban az alkalmazásnak adtak.
A Cloud Backup a Microsoft 365 és a Google Workspace adatainak mentésére és helyreállítására szolgál, ezért hozzá kell férnie a postafiókokhoz, a OneDrive-hoz, a SharePoint-hoz, a Teams-hez és más tartalmakhoz. A hozzáférés megszerzésével a támadók az alkalmazás számára biztosított jogosultságokkal élhettek vissza, egyes esetekben akár úgy, hogy tevékenységük nem hagyott nyomot a naplóállományokban. A ConnectWise nem árulta el, kik állhatnak a támadások mögött és hány ügyfelet érintettek, de szóvivője szerint nincs jel arra, hogy a mentett adatok kompromittálódtak volna. A kimaradás jelenleg a felhőalapú mentést, a SaaS Security és a Cloud Management platformokat érinti.
A Huntress szerint az első támadáshullámban október 13-án és 14-én négy ügyvédi iroda volt érintett jelszóspray-ben, majd két nappal később mintegy ötven ügyfélkörnyezetben észleltek jogosultságkiosztási műveleteket a Cloud Management alkalmazásokon keresztül. Összesen 162 Microsoft 365-ös ügyfélkörnyezetben észleltek jogosulatlan bejelentkezéseket, és egy második, nagyrészt sikertelen hullám a szakpolitikai, nemzetbiztonsági, kereskedelmi, valamint a stratégiai jelentőségű ásványi nyersanyagokkal foglalkozó ágazatokban működő szervezeteket célozta. A ConnectWise visszavonta az érintett kapcsolatok tanúsítványait és érvénytelenítette a korábbi hitelesítő adatokat, azóta nem észlelt újabb sikeres támadást. A vállalat ugyanakkor nem rendelkezik közvetlen rálátással ügyfelei informatikai környezetére, így azt sem tudja megállapítani, hogy az egyes Microsoft 365-fiókok érintettek voltak-e a támadásban. A szolgáltatások helyreállításának várható időpontjáról egyelőre nem közöltek információt.