Една парола отвори 173 Microsoft 365 акаунта

Неизвестни нападатели са използвали открадната идентификация на приложението ConnectWise Cloud Backup (бившето SkyKick), за да влязат в 173 корпоративни наемателя в Microsoft 365. Достъпът е осъществен на 15 октомври 2026 г. между 06:13 и 08:34 UTC от един-единствен адрес — 144.172.64.128. Случаят е описан от The Hacker News по данни на екипите на Huntress и Todyl.

Какво точно се е случило

ConnectWise Cloud Backup е услуга за резервни копия, предназначена за доставчици на управлявани услуги (MSP). За да върши работата си, приложението получава широки права във всеки наемател, в който е инсталирано: пощенски кутии, OneDrive, SharePoint, Teams и данните от директорията.

Именно затова една компрометирана идентификация стига. Нападателят не е разбивал нито един потребителски акаунт — наследил е правата, които организациите сами са дали на приложението, и с тях е взел токени за Microsoft Graph.

Huntress е потвърдила неоторизирани влизания в 173 наемателя на партньори и клиенти. „Идентификацията на приложението е във вражески ръце“, коментира Джонатан Семон от Huntress пред The Hacker News. Според него атакуващият е минал през наемателите в сортиран ред по GUID, през няколко секунди — почерк на скрипт, който работи по готов списък с цели.

Два дни по-рано: опити срещу адвокатски кантори

На 13 и 14 октомври е регистрирано password spraying срещу четири наемателя на адвокатски кантори. Успешни влизания на потребители тогава не са засечени, но времевата близост прави епизода част от същата кампания.

По-тревожното е друго. В поне един наемател приложението ConnectWise Cloud Management за Microsoft Teams (ID 24205314-2b89-4e07-a2a4-579e898a5640) си е присвоило роля Global Administrator и е изпълнило Python скриптове, които добавят нови client secrets към две други доверени приложения. Казано просто: нападателят си е оставил резервни ключове, които надживяват затварянето на основния вход.

Отговорът на ConnectWise

Компанията затвори изцяло достъпа на приложението Cloud Backup и заяви, че „няма доказателства за компрометиране на резервните данни на партньорите“. Публикувани са и индикатори за компрометиране.

Ако администрирате Microsoft 365, проверката отнема минути:

Entra Admin Center → Sign-in logs → Service principal sign-ins
Филтър по Application ID: 506e08f9-6e9a-4da4-942b-a099a03644ae
Търсете IP: 144.172.64.128
User agents: Python-urllib/3.12, python-requests/2.31

Huntress препоръчва още: включете Microsoft Graph activity logs, проверете за нови client secrets, добавени след 13 октомври, и прегледайте одитните записи за приложения на ConnectWise, които са поемали роли в директорията.

Защо това е по-голям проблем от един доставчик

Моделът се повтаря. Преди седмици видяхме как атака срещу подизпълнителя BAE Systems спря известията на федералните съдилища в САЩ — отново без пробив в самата жертва.

Google Mandiant междувременно разкри друг случай със същата логика. Групата UNC7017 е променяла файловете по сървърите за обновления на AOMEI Backupper в кратки прозорци от 5 до 10 минути — на 28 май, 16 юли и 20 юли 2026 г. Всяка машина, която е проверила за обновление точно тогава, е изтеглила downloader-а CROSSROAD и импланта SHINYROAD. Засегнати са организации в 11 държави, включително Австралия, Бразилия, Индия, Португалия, Испания и САЩ. AOMEI твърди, че е изчистила сървърите си до 29 юли, но поправката не маха backdoor-ите от вече заразените машини.

И още един фронт: Adobe закърпи CVE-2026-103849 (BlockStrap) — пропуск с максимална тежест в шаблонния двигател на Adobe Commerce и Magento Open Source до 2.4.9, който позволява изпълнение на произволен PHP код. Масова експлоатация още няма, но изследователите от Sansec са намерили четири възможни пътя за атака за 24 часа, пише BleepingComputer. Предшественикът StyleSmuggler мина от hotfix до масова експлоатация за три дни.

Заключение

Три различни случая, един общ извод: защитният периметър на организацията днес минава през чужди сървъри. Инструментите за резервни копия и дистанционно управление имат привилегиите на администратор, но се проверяват далеч по-рядко от него. Ако използвате ConnectWise Cloud Backup, прегледайте дневниците за 13–15 октомври още днес и ротирайте идентификациите — а после задайте въпроса кои още приложения във вашия наемател могат да четат всяка пощенска кутия. За останалите проблеми от седмицата сме писали в прегледа на нулевия ден в BeyondTrust и атаките по Collabora и FortiOS.