ConnectWise, azienda nota per le sue soluzioni SaaS destinate ai fornitori di servizi gestiti (MSP), ha annunciato una “interruzione del servizio” per alcune delle sue offerte dopo aver rilevato accessi non autorizzati. La società fornisce strumenti specificamente progettati per aiutare i MSP a gestire gli ambienti dei loro clienti, tra cui un servizio di backup cloud, precedentemente noto come SkyKick.
Il 16 ottobre, ConnectWise ha pubblicato un avviso in cui dichiarava di aver “identificato un accesso non autorizzato alle identità delle applicazioni all’interno dell’ambiente di backup cloud di ConnectWise” il giorno precedente. A causa di questa situazione, è stata decisa la sospensione del servizio di Cloud Backup e, per cautela, anche dei servizi di sicurezza SaaS e di gestione cloud, che sono integrati con il servizio di backup.
Tuttavia, ConnectWise specifica che questa sospensione non implica necessariamente che gli ambienti dei MSP o dei loro clienti siano stati compromessi; il motivo della sospensione è l’incertezza sulla sicurezza operativa dei servizi. Al momento, i servizi rimangono inaccessibili, il che ha impedito agli utenti finali di eseguire backup, accedere agli archivi e ripristinare i dati.
Jason Ferguson, vice presidente delle operazioni di sicurezza di ConnectWise, ha confermato in un post su Reddit che “gli archivi esistenti rimangono criptati, isolati e preservati, senza evidenza di accessi non autorizzati”. Il team di sicurezza continua a monitorare gli ambienti interessati, effettuando analisi forensi e attività di recupero.
ConnectWise ha fornito pochi dettagli sull’incidente, limitandosi a condividere indicatori di compromesso legati a determinati indirizzi IP e integrazioni con applicazioni di terze parti. La società ha anche disabilitato certe integrazioni tra il Cloud Backup e servizi come Exchange, Teams e SharePoint Online.
In un’analisi più allarmante, la società di sicurezza Huntress ha affermato che una credenziale di Microsoft 365 (API secret) appartenente a ConnectWise Cloud Backup è stata compromessa e viene utilizzata per accedere senza autorizzazione agli ambienti M365 dei clienti. In un esempio specifico, Huntress ha notato che un’altra applicazione di ConnectWise, ConnectWise Cloud Management – MS Teams, ha ottenuto i diritti di Amministratore Globale e ha aggiunto nuove credenziali a due altre applicazioni.
Huntress avverte che disabilitare le app M365, incluse quelle compromesse di ConnectWise, non rimuoverà le credenziali già aggiunte, e consiglia di rivedere attentamente le credenziali di tutte le applicazioni M365 utilizzate.
Allo stato attuale, ConnectWise ha affermato che “non può discutere l’attribuzione dell’attaccante” poiché è focalizzata sull’investigazione, sul recupero e sul supporto per i partner e i clienti colpiti. Tuttavia, ha invitato i suoi clienti a controllare eventuali segni di compromissione negli ambienti M365 che gestiscono.
Questa situazione mette in evidenza le difficoltà in cui si trovano le organizzazioni finali che potrebbero non essere consapevoli del contributo di ConnectWise ai loro servizi. Le aziende che forniscono servizi ai MSP sono spesso obiettivo di attacchi, e la compromissione di pratiche come quelle di ConnectWise potrebbe avere ripercussioni su tutte le organizzazioni collegate.
ConnectWise spera di non dover affrontare un destino simile a quello di Kaseya, il cui attacco informatico del 2021 rappresenta uno degli esempi più noti di compromissione dei fornitori di servizi gestiti.
