Een supplychain-aanval op IT-beheerder ConnectWise raakt honderden bedrijven wereldwijd. Aanvallers wisten via een gecompromitteerde koppeling van ConnectWise Cloud Backup direct toegang te krijgen tot de Microsoft 365-omgevingen van aangesloten organisaties. ConnectWise heeft de back-updienst en twee aanverwante clouddiensten noodgedwongen offline gehaald.
ConnectWise ontdekte op 15 oktober ongeautoriseerde toegang tot zijn Cloud Backup-platform. De software, die veel MSP’s inzetten om de Microsoft 365- en Google Workspace-omgevingen van hun klanten veilig te stellen, is afkomstig van SkyKick, dat ConnectWise in het najaar van 2024 overnam.
Volgens analyses van Microsoft en securityspecialist Huntress wisten aanvallers een digitale sleutel van de clouddienst zelf te bemachtigen. Hierdoor meldden de indringers zich niet aan als individuele gebruiker, maar als een ‘vertrouwde applicatie’ met vergaande rechten binnen klantomgevingen. Reguliere beveiligingslagen zoals tweefactorauthenticatie boden hierdoor geen bescherming.
Beveiligingsbedrijf Huntress registreerde ruim duizend inlogpogingen, waarvan er meer dan driehonderd slaagden. In zeker 173 klantomgevingen werd daadwerkelijk ingebroken. De aanvallers probeerden vervolgens hun toegang permanent te verankeren in onder meer Exchange Online, Teams en SharePoint.
Drie diensten uit de lucht
Om verdere schade te voorkomen, trok ConnectWise op 17 oktober de digitale certificaten in en zette het zeven gekoppelde applicaties stop. Daarmee ging Cloud Backup wereldwijd op zwart. Omdat ook de diensten SaaS Security en Cloud Management hierop steunen, zijn die eveneens tijdelijk uitgeschakeld. Klanten kunnen daardoor op dit moment geen geplande back-ups draaien of bestanden herstellen.
Bestaande back-uparchieven zijn volgens ConnectWise versleuteld opgeslagen en lijken onaangeroerd. Wel waarschuwt het bedrijf dat het zelf geen direct zicht heeft op wat er binnen de Microsoft 365-omgevingen van eindklanten is gebeurd. Hoe de digitale sleutels van ConnectWise precies konden uitlekken, wordt nog forensisch onderzocht.
Het is niet het eerste incident rondom de leverancier. Eerder dit jaar meldde ConnectWise al verdachte activiteit van een statelijke actor rondom beheertool ScreenConnect, al bleef de impact daarvan beperkt tot een handvol klanten.
Lees ook: Wanneer de cyberpolis faalt en de schermen op zwart gaan
Actie vereist voor IT-dienstverleners en klanten
Het incident vraagt directe actie van zowel IT-dienstverleners als organisaties die hun clouddiensten via een externe partij laten back-uppen. Het uitschakelen van de back-uptool zelf is niet voldoende. Aanvallers kunnen achterdeurtjes en nieuwe toegangsrechten hebben aangemaakt binnen de Microsoft 365-tenant.
ConnectWise heeft een technische stappenlijst gepubliceerd waarmee beheerders logbestanden kunnen controleren op verdachte inlogactiviteit en ongewenste configuratiewijzigingen. Getroffen koppelingen moeten voorlopig strikt uitgeschakeld blijven. Een streefdatum voor het herstel van de dienstverlening is nog niet bekendgemaakt.