Скомпрометированные учётные данные приложения ConnectWise Cloud Backup, прежде называвшегося SkyKick Backup, использовали для входа в среды Microsoft 365 его клиентов. Huntress подтвердила несанкционированные входы как минимум в 162 организации к 19:00 UTC 16 октября.

Приложение резервного копирования уже имело выданные администраторами права на почту, OneDrive, SharePoint, Teams и данные каталога. Поэтому злоумышленнику не требовались пароль конкретного сотрудника и подтверждение MFA: он предъявлял ключ самого приложения и получал токен Microsoft Graph с прежними разрешениями. Todyl независимо обнаружила тот же сценарий — по одному автоматизированному входу в наблюдаемых ею средах.

В одной среде Huntress также увидела, как другое приложение ConnectWise назначило себе роль глобального администратора и добавило новые секреты двум доверенным приложениям. Исследователи не смогли окончательно связать этот более ранний этап с тем же оператором. Они также не подтвердили массовое копирование писем или файлов: часть обращений Microsoft Graph не оставляет достаточно подробного журнала, поэтому факт выдачи токена показывает доступ, но не доказывает кражу всех доступных данных.

17 октября ConnectWise сообщила, что отозвала сертификаты затронутых подключений и остановила Cloud Backup. Компания не видит признаков доступа к зашифрованным архивам резервных копий, однако само резервное копирование и восстановление остаются недоступны до завершения расследования.