ConnectWise tạm ngừng dịch vụ đám mây sau khi bị tấn công mạng

ConnectWise đang gấp rút khôi phục các dịch vụ Cloud Backup, SaaS Security và Cloud Management sau khi tin tặc lợi dụng một thông tin xác thực bị xâm phạm để truy cập vào các tenant Microsoft 365 của khách hàng. Sự cố khiến hàng loạt hoạt động sao lưu, khôi phục dữ liệu và giám sát bảo mật của các nhà cung cấp dịch vụ quản lý (MSP) bị đình trệ.

Minh họa sự cố bảo mật tại ConnectWise

Diễn biến vụ việc

Công ty đã tạm dừng dịch vụ Cloud Backup (trước đây có tên là SkyKick) vào ngày 17/10, khoảng 12 giờ sau khi bắt đầu điều tra các hoạt động đáng ngờ. Phía ConnectWise cho biết đã phát hiện truy cập trái phép vào các danh tính ứng dụng trong môi trường Cloud Backup.

"Gần đây chúng tôi đã xác định được truy cập trái phép vào các danh tính ứng dụng trong môi trường ConnectWise Cloud Backup. Nhằm bảo vệ các đối tác Cloud Backup và khách hàng của họ, chúng tôi đang tắt quyền truy cập ứng dụng Cloud Backup", công ty thông báo.

Một ngày sau, ConnectWise quyết định đóng cửa thêm SaaS Security và Cloud Management để triển khai các biện pháp khắc phục. Công ty khẳng định dữ liệu sao lưu của khách hàng vẫn được mã hóa và bảo vệ, đồng thời chưa có bằng chứng về truy cập trái phép vào các dữ liệu này.

Hệ quả và phạm vi ảnh hưởng

Biện pháp ngăn chặn này tiếp tục gây ảnh hưởng đến các hoạt động sao lưu theo lịch, truy cập lưu trữ, khôi phục dữ liệu, cũng như chức năng giám sát và cảnh báo của SaaS Security và việc quản lý người dùng, giấy phép của Cloud Management. Đáng chú ý, ConnectWise vẫn chưa đưa ra mốc thời gian ước tính để khôi phục dịch vụ.

Tuy vậy, công ty đã chia sẻ thông tin về các địa chỉ IP được sử dụng trong vụ xâm nhập và công bố hướng dẫn để các MSP rà soát lại môi trường Microsoft 365 của mình.

Chuyên gia bảo mật phân tích vụ tấn công

Phân tích kỹ thuật từ Huntress

Theo hãng bảo mật Huntress, thông tin xác thực Cloud Backup bị xâm phạm đã được dùng để truy cập các tenant Microsoft 365 vào ngày 15/10. Danh tính của Cloud Backup được ghi nhận đăng nhập vào 162 tenant Microsoft 365 trong khoảng thời gian từ 15 đến 16/10.

"Bản thân việc xác thực là chắc chắn: nó đến từ nhật ký đăng nhập của chính Microsoft trong từng tenant. Loại thông tin xác thực là client assertion, nghĩa là thông tin này nằm trong tenant của chính nhà cung cấp. Không có hành động nào từ phía khách hàng trong môi trường của họ có thể tạo ra nó", Huntress nhận định.

Hoạt động này xuất phát từ cùng một địa chỉ IP đã được dùng trong khoảng 13–14/10 cho các cuộc tấn công password spraying nhắm vào bốn tenant của các công ty luật, cùng những nỗ lực đăng nhập có kịch bản.

Trong một tenant của khách hàng, Huntress quan sát thấy ứng dụng ConnectWise Cloud Management cho Microsoft Teams tự thêm mình vào vai trò Global Administrator vào ngày 15/10, sau đó chạy một script Python để thêm các client secret mới vào một ứng dụng quản lý của MSP và vào chính ứng dụng của Huntress.

Quy mô và mức độ nghiêm trọng

Đến ngày 17/10, Huntress đã xác định hoạt động đăng nhập từ địa chỉ IP của kẻ tấn công tại gần 1.000 tenant Entra, trong đó hơn 300 lần đăng nhập thành công. Tuy nhiên, đăng nhập thành công không đồng nghĩa với việc truy cập được: ở những tenant không có service principal liên quan của ConnectWise, tin tặc không thể xâm nhập.

Huntress cho biết có độ tin cậy cao rằng kẻ tấn công cũng đã lợi dụng các ứng dụng ConnectWise Cloud Management Exchange Online, MS Teams và SharePoint Online trong các vụ xâm nhập. Cả ba ứng dụng này đều đã bị ConnectWise đóng cửa.

Logo SecurityWeek

Bài học cho doanh nghiệp và MSP

Dù ConnectWise đã chặn được cuộc tấn công, các doanh nghiệp vẫn phải đối mặt với trách nhiệm nặng nề trong việc đảm bảo tin tặc không thay đổi bất kỳ cấu hình nào trong Microsoft 365 hay tạo ra cơ chế duy trì quyền truy cập (persistence) trong tenant của mình.

"ConnectWise đã ngăn chặn được cuộc tấn công. Nhưng các doanh nghiệp đáng tiếc vẫn phải gánh trách nhiệm và nhiệm vụ khó khăn là đảm bảo kẻ tấn công không thay đổi cấu hình Microsoft 365 nào hay thiết lập cơ chế duy trì trong tenant của họ. Hơn một phần ba lãnh đạo CNTT tin rằng Microsoft tự động sao lưu cấu hình của họ, khiến việc khôi phục sau một cuộc tấn công như vậy càng khó khăn hơn", ông Kasper Lindgaard, Phó chủ tịch chiến lược bảo mật của CoreView, nhận định.

Đối với các nhà cung cấp dịch vụ quản lý tại Việt Nam và trên toàn cầu, sự cố này là lời cảnh tỉnh về rủi ro chuỗi cung ứng phần mềm và tầm quan trọng của việc rà soát quyền truy cập của các ứng dụng bên thứ ba trong môi trường đám mây. Việc kiểm tra kỹ nhật ký đăng nhập, thẩm định lại các service principal đáng tin cậy và xây dựng quy trình khôi phục cấu hình riêng đang trở thành yêu cầu cấp thiết hơn bao giờ hết.