När leverantörens app blir angriparens nyckel

Den 21 oktober publicerade Microsoft sin analys av intrånget i ConnectWise Cloud Backup, den tjänst för säkerhetskopiering av Microsoft 365 som tidigare hette SkyKick. Enligt Microsoft låg den kinesiskt statsanknutna aktören Storm-0940 bakom angreppet. Aktören använde ARTEX, ett ramverk där AI-agenter självständigt genomför penetrationstester, för att automatisera rekognosering, lösenordsattacker och missbruk av applikationer.

Det är lätt att fastna i att AI-agenter användes. Den viktigare lärdomen ligger i vilken väg angreppet tog.

Det som misslyckades och det som lyckades

Mellan den 10 och 14 oktober genomförde Storm-0940 en automatiserad lösenordsattack mot 327 konton hos åtta organisationer. Microsoft registrerade över 151 000 misslyckade inloggningar, som mest 2 900 per minut. Enligt Microsoft lyckades ingen av dem.

Den 15 oktober hade aktören i stället kommit över identiteterna för flera av ConnectWises molnapplikationer. Med dem kunde aktören autentisera sig mot kundernas miljöer, eftersom applikationerna redan hade fått åtkomst där. Microsoft beskriver hur aktören försökte logga in i mer än 2 250 kundmiljöer och hur det i vissa fall gick mindre än tre timmar från att en organisation valdes ut till att aktören hade privilegierad åtkomst till dess molnmiljö.

Ingen användare behövde luras att logga in, och inget lösenord behövde knäckas. Microsoft konstaterar att angreppet utnyttjade det förtroende som applikationerna redan hade i kundernas miljöer, utan att någon interaktiv inloggning krävdes. Skydd som bygger på användarens inloggning, som tvåfaktorsautentisering, kom därför aldrig i spel.

En backuptjänst har breda behörigheter av goda skäl

En tjänst som säkerhetskopierar e-post, filer och Teams behöver kunna läsa just det. En tjänst för att administrera användare och licenser behöver kunna ändra dem. Behörigheterna är inte ett misstag, utan en förutsättning för att tjänsten ska fungera.

Det gör sådana applikationer till en särskild sorts leverantörsberoende. I de miljöer där angreppet gick vidare använde aktören åtkomsten till rekognosering, ändrade inloggningsuppgifter för applikationer och gjorde ändringar i identiteter, grupper och privilegierade roller. Microsoft varnar för att sådana ändringar kan fungera som en bakdörr även efter att den ursprungliga applikationen har åtgärdats.

ConnectWise stängde av sju applikationsidentiteter den 17 oktober och har sedan återställt tjänsterna stegvis. Bolaget skriver samtidigt att avstängningen inte återställer ändringar som redan har gjorts i kundernas miljöer, och att det inte går att avgöra från ConnectWises egen miljö om en enskild kunds miljö har påverkats. Den bedömningen måste varje kund göra själv.

Leverantören finns inte bara i avtalet

I en vanlig leverantörsförteckning syns ConnectWise, eller den IT-partner som har sålt tjänsten, som en rad bland andra. Det framgår sällan att leverantören också finns som en applikation inne i organisationens Microsoft 365-miljö, med egna behörigheter och en egen väg in som inte går via någon medarbetares inloggning.

Det är i det gapet risken uppstår. Avtalet beskriver tjänsten. Behörigheterna avgör vad en angripare kan göra om leverantören komprometteras.

För många organisationer är kedjan dessutom längre. Backup och administration av Microsoft 365 köps ofta via en IT-partner som i sin tur använder en plattform som ConnectWise. ConnectWise beskriver själva hur partnerna både är mål i sig och en väg in till varje kund de betjänar. Organisationen kan alltså ha gett åtkomst till en applikation från en leverantör den aldrig har tecknat avtal med.

AI förkortar tiden att reagera

Varken stulna applikationsuppgifter eller missbruk av redan godkända applikationer är nya angreppsmetoder. Det nya är takten. Microsoft beskriver hur agenterna kunde arbeta dygnet runt, pröva flera angreppsvägar samtidigt och gå från utvalt mål till privilegierad åtkomst på några timmar.

Det förändrar förutsättningarna för leverantörsuppföljningen. Om en organisation behöver flera dagar för att ta reda på vilka applikationer som har åtkomst till dess miljö, och vad de får göra, har angriparen redan haft gott om tid. Den kartläggningen behöver finnas innan incidenten inträffar.

Vad organisationer bör kunna svara på

Microsoft och ConnectWise har publicerat detaljerade råd till berörda organisationer och en löpande uppdaterad incidentbeskrivning. För den som använder tjänsten är de rätt utgångspunkt. Frågorna bakom dem gäller dock alla organisationer:

• Vilka tredjepartsapplikationer har åtkomst till miljön? Även sådana som inte längre används men aldrig har tagits bort.
• Vad får de göra? Läsa e-post och filer, ändra användare, tilldela roller.
• Vem står bakom dem? Den direkta leverantören, en IT-partner eller en plattform längre ned i kedjan.
• Vem ansvarar för att följa upp dem? Både vid förändringar hos leverantören och när en incident inträffar.

Från leverantörslista till faktiska åtkomstvägar

Bounded hjälper organisationer att kartlägga kritiska leverantörer och digitala beroenden, inklusive vilka åtkomster leverantörerna har och vilka underleverantörer som finns bakom dem. Målet är att leverantörsbilden ska spegla hur tjänsterna faktiskt är kopplade till verksamheten, inte bara vad som står i avtalen.

Intrånget i ConnectWise Cloud Backup visar varför det spelar roll. Angriparen behövde inte bryta sig in. Applikationen hade redan nyckeln.