Todyl раскрыла кампанию Key Eater: с 1 ноября злоумышленник входит в Microsoft 365 и Azure от имени приложений IT-подрядчиков, используя украденные действующие ключи. По опубликованным 3 ноября данным, он добрался до 27 организаций, включая клиентов подрядчиков, скачал 81 файл и получил доступ примерно к 2279 элементам почтовых ящиков. Это только наблюдаемая Todyl часть кампании.

Такие приложения работают без участия сотрудника и используют собственные разрешения. Поэтому вход не требует его пароля и подтверждения MFA. Доступ подрядчика сразу к нескольким клиентам расширяет последствия кражи одного ключа: в одном эпизоде приложение последовательно обратилось к 15 клиентским средам.

Похищенные файлы содержали пароли, приватные ключи и настройки доступа к другим системам. В одном случае атакующий скачал архив программного подключения и примерно через две с половиной минуты вошёл от имени соответствующего приложения. Автоматизация ускоряет переходы, но исследователи видят признаки управления человеком, а не самостоятельно распространяющегося червя.

В отличие от октябрьской атаки через ConnectWise, здесь использовали ключи собственных приложений пострадавших организаций; Todyl считает кампании несвязанными. Признаков взлома платформ поставщиков или эксплуатации уязвимости Microsoft нет. Как первоначально похитили ключи и кто стоит за операцией, неизвестно.