Attori di minaccia non identificati hanno usato una credenziale compromessa di ConnectWise Cloud Backup per accedere senza autorizzazione a 173 tenant Microsoft 365 di partner e clienti, secondo il resoconto di The Hacker News che cita Huntress.
Huntress ha osservato l'ottenimento di token di Microsoft Graph il 15 ottobre 2026, tra le 06:13 e le 08:34 UTC, dall'indirizzo 144.172.64[.]128. Il dato di 173 si riferisce ai tenant con accessi non autorizzati confermati, non a singoli utenti, clienti o record esposti.
ConnectWise Cloud Backup, in precedenza SkyKick, è usato dai managed service provider per proteggere i dati di Microsoft 365 e Google Workspace. Negli ambienti Microsoft 365, i permessi concessi con il consenso possono offrire un accesso ampio a caselle di posta, OneDrive, SharePoint, Teams e informazioni della directory.
Secondo Huntress, ogni organizzazione in cui l'applicazione risulta ancora installata rientra nella potenziale portata della credenziale. Si tratta di una valutazione dell'esposizione: non significa che ogni tenant di questo tipo sia stato effettivamente acceduto.
Gli attaccanti hanno ereditato i permessi dell'applicazione di backup
Secondo Huntress, gli attaccanti si sono autenticati all'applicazione Cloud Backup con strumenti propri e hanno richiesto token con permessi già concessi al servizio. I tenant osservati sono stati acceduti in ordine di GUID, a distanza di pochi secondi l'uno dall'altro, il che suggerisce un processo automatizzato che operava a partire da un elenco di obiettivi preparato.
Todyl ha riferito separatamente di aver rilevato una parte non autorizzata che si autenticava a Microsoft Graph come applicazione ConnectWise Cloud Backup. Secondo Todyl, il consenso ereditato potrebbe consentire operazioni di lettura e scrittura su:
- email e allegati, incluso l'accesso completo alle caselle di posta tramite Exchange Web Services
- file di OneDrive e SharePoint
- chat di Microsoft Teams
- funzioni di ripristino dei dati
Secondo Todyl, la revoca delle sessioni utente ordinarie non interrompe questo accesso a livello di applicazione. Disabilitare l'app impedisce di ottenere nuovi token in quel tenant, ma i token già emessi possono restare validi fino a 90 minuti. Se l'applicazione resta abilitata, l'esposizione continua finché ConnectWise non sostituisce la credenziale compromessa.
Lo stesso indirizzo IP ha inoltre condotto attività di password spraying contro quattro tenant di studi legali il 13 e il 14 ottobre 2026. Huntress ha affermato che la sua telemetria non mostrava accessi utente riusciti derivanti da quei tentativi.
Un tenant ha mostrato un'ulteriore escalation dei privilegi
In almeno un tenant di partner, Huntress ha osservato un'applicazione separata — la ConnectWise Cloud Management app per Microsoft Teams, con ID applicazione 24205314-2b89-4e07-a2a4-579e898a5640 — aggiungere se stessa al ruolo Global Administrator.
L'applicazione ha quindi eseguito uno script Python riconoscibile dallo user agent Python-urllib/3.12. Lo script ha aggiunto nuovi client secret a due altre applicazioni: un'applicazione di gestione MSP e l'applicazione Huntress Security Platform.
Questo può ampliare le conseguenze oltre la credenziale originale di Cloud Backup. Huntress ha spiegato che le applicazioni di gestione MSP sono spesso consentite in più tenant dei clienti, mentre una credenziale aggiunta a un'applicazione di sicurezza eredita tutte le operazioni che lo strumento è autorizzato a eseguire.
L'impatto effettivo varierà quindi in base ai permessi concessi all'interno di ciascun tenant.
ConnectWise chiude l'accesso alle applicazioni
ConnectWise ha chiuso l'accesso all'applicazione Cloud Backup fino a nuovo avviso. L'azienda ha dichiarato di non aver trovato alcuna evidenza che i dati di backup dei partner di Cloud Backup fossero compromessi.
Questa dichiarazione riguarda solo i dati di backup. Non smentisce i risultati di Huntress sugli accessi non autorizzati ai tenant Microsoft 365 tramite la credenziale dell'applicazione.
Cosa devono verificare gli amministratori
ConnectWise ha individuato il seguente ID applicazione di Cloud Backup e l'indirizzo sospetto:
- ID applicazione Cloud Backup:
506e08f9-6e9a-4da4-942b-a099a03644ae - IP sospetto:
144.172.64[.]128
Gli amministratori possono esaminare i record pertinenti in:
Microsoft Entra Admin Center → Monitoring → Sign-in logs → Service principal sign-ins
I log vanno filtrati per l'ID applicazione 506e08f9-6e9a-4da4-942b-a099a03644ae. La vista predefinita User sign-ins non mostra l'attività delle service principal necessaria per questa verifica.
ConnectWise ha dichiarato che il traffico in uscita normale di Cloud Backup usa indirizzi IPv6 privati di Azure. Le autenticazioni provenienti da indirizzi al di fuori degli intervalli Microsoft o Azure previsti meritano una verifica.
Huntress raccomanda alle organizzazioni di:
- Disabilitare l'applicazione finché ConnectWise non conferma che tutte le credenziali sono state reimpostate.
- Abilitare i log di attività di Microsoft Graph.
- Verificare le applicazioni alla ricerca di nuove credenziali aggiunte a partire dal 13 ottobre 2026.
- Esaminare i log di audit di Entra per le applicazioni ConnectWise o SkyKick che aggiungono se stesse a ruoli della directory.
- Cercare l'ID applicazione
24205314-2b89-4e07-a2a4-579e898a5640e lo user agentPython-urllib/3.12.
Huntress avverte che alcune attività, incluse alcune letture della directory tramite Microsoft Graph, potrebbero non generare una traccia di audit. Gli amministratori non dovrebbero quindi considerare l'assenza di voci di log corrispondenti come prova che un tenant con consenso fosse irraggiungibile.
