Rocket Boys meldde op 19 oktober dat Huntress in een update van 17 oktober aanmeldactiviteit had gezien bij ongeveer 1.000 Microsoft Entra-tenants en meer dan 300 geslaagde aanmeldingen. De cijfers gaan over aanmeldactiviteit, niet over een vastgesteld aantal slachtoffers of gestolen gegevens. Rocket Boys beschrijft de Huntress-update
Wat de aanmeldcijfers laten zien
Huntress rapporteerde op 16 oktober om 19.00 UTC ongeautoriseerde aanmeldingen in 162 tenants binnen zijn eigen monitoromgeving. Dat is een eerdere, afzonderlijke momentopname. NeoTeo berichtte eerder over die 162 tenants en de ingetrokken certificaten bij de ConnectWise-aanval op Microsoft 365.
De latere cijfers tellen verschillende zaken: activiteit bij ongeveer 1.000 tenants en meer dan 300 geslaagde aanmeldingen. Een geslaagde authenticatie registreert dat een app zich aanmeldde; de telling zegt op zichzelf niet welke gegevens daarna zijn bekeken of gekopieerd.
Hoe de app-toegang werkte
Volgens Huntress gebruikten de aanvallers een credential van ConnectWise Cloud Backup, voorheen SkyKick Cloud Backup, om zich met de applicatie-identiteit aan te melden bij Microsoft 365-tenants. De app gebruikte machtigingen die beheerders eerder aan de toepassing hadden verleend. Er was geen interactieve aanmelding door een gebruiker nodig. Daardoor blokkeerde gebruikers-MFA deze specifieke aanmeldroute niet. Huntress beschrijft de authenticatie en de waarnemingen
Afhankelijk van de machtigingen in een tenant kon de toegang reiken tot mailboxen, OneDrive, SharePoint, Teams en directorygegevens. Dat beschrijft het bereik dat de machtigingen mogelijk maakten; de aanmeldcijfers zijn geen meting van welke informatie daadwerkelijk is uitgelezen.
Een afzonderlijk privilege-incident
Huntress meldde ook een gebeurtenis in één partnertenant met een andere toepassing: ConnectWise Cloud Management – MS Teams kende zichzelf de rol Global Administrator toe en voegde client secrets toe aan twee andere apps. Huntress koppelde de operator achter die reeks niet definitief aan degene achter latere aanmeldingen vanaf het openbare IP-adres. Dit incident vormt dus een afzonderlijke waarneming, geen onderdeel van de telling van ongeveer 1.000 tenants.
ConnectWise schakelde Cloud Backup-toegang uit
ConnectWise maakte op 17 oktober bekend dat het de applicatietoegang tot Cloud Backup had uitgeschakeld nadat het ongeoorloofde toegang tot applicatie-identiteiten had vastgesteld. Het bedrijf zei toen geen aanwijzingen te hebben dat gehoste back-upgegevens van Cloud Backup-partners waren gecompromitteerd. ConnectWise' advies over het incident
