Исследователи сообщили об активной атаке через учётные данные, связанные с ConnectWise Cloud Backup, прежде известным как SkyKick Backup. Злоумышленники использовали уже выданные приложению разрешения, чтобы получать доступ к средам Microsoft 365. Huntress подтвердила несанкционированные входы в 173 арендатора партнёров и клиентов. Под угрозой может оказаться любая организация, где приложение установлено и получило согласие на доступ.
ConnectWise Cloud Backup — облачный сервис резервного копирования и восстановления для управляемых ИТ-провайдеров (MSP). Он защищает данные Microsoft 365 и Google Workspace, поэтому его разрешения могут охватывать почту и вложения, OneDrive, SharePoint, Microsoft Teams, сведения каталога и восстановление данных. По описанию Todyl, доступ включал чтение и запись почты, вплоть до полного доступа к ящикам через Exchange Web Services. Реальный объём возможного доступа зависит от разрешений, выданных в конкретном арендаторе.
Исследователь Huntress Джонатан Семон сообщил, что скомпрометированные учётные данные приложения использовали для получения токенов Microsoft Graph. Активность зафиксировали 15 октября 2026 года с IP-адреса
Этот IP-адрес фигурировал и в другой активности: 13 и 14 октября 2026 года с него проводили подбор паролей против четырёх арендаторов юридических фирм. Huntress не обнаружила успешных пользовательских входов. Исследователи также заметили возможную склонность атакующих к алфавитному выбору целей: среди наиболее интересных пострадавших были организации, названия которых начинались на «A». Huntress советовала проверять все арендаторы, но допускала, что эта закономерность поможет расставить приоритеты.
Как минимум в одном арендаторе партнёра Huntress обнаружила действия с другим приложением ConnectWise. ConnectWise Cloud Management app for Microsoft Teams добавило себя в роль глобального администратора, а затем запустило Python-скрипт с идентификатором клиента
Microsoft и ConnectWise перечислили идентификаторы приложений, связанных с активностью:
ConnectWise отключила доступ приложения Cloud Backup, пока расследует инцидент и устраняет последствия. Компания сообщила, что не нашла признаков компрометации резервных копий партнёров. Это относится к данным резервного копирования и само по себе не доказывает, что злоумышленники не читали данные арендаторов через выданные приложению разрешения. ConnectWise подтвердила несанкционированный доступ к идентификаторам приложений в среде Cloud Backup.
Администраторам стоит отключить приложение до подтверждения, что ConnectWise сменила все скомпрометированные учётные данные. Нужно включить журналы активности Microsoft Graph, проверить журналы аудита Microsoft Entra на добавление приложений ConnectWise или SkyKick в роли каталога, изучить необычные входы сервисных принципалов, изменения секретов и OAuth-разрешений Cloud Backup. Отдельно следует проверить новые учётные данные, добавленные с 13 октября 2026 года, и аутентификацию с адресов за пределами ожидаемых диапазонов Microsoft и Azure. Huntress отмечала, что обычный исходящий трафик приложения использует частный IPv6 Azure; в журнале следует смотреть столбец IP-адреса. Вкладка «Входы пользователей» по умолчанию нужных событий не покажет.
Обычный отзыв пользовательских сессий не прекращает доступ приложения. Отключение приложения в арендаторе не позволяет выдавать новые токены, но уже выданные могут оставаться действительными до 90 минут. Пока приложение не отключено, арендатор остаётся уязвимым до смены учётных данных ConnectWise. Кроме того, некоторые запросы Microsoft Graph, например чтение отдельных сведений каталога, могут не оставлять следов в журнале. Поэтому отсутствие записи не гарантирует отсутствия доступа.
В сообщении упоминается и отдельная атака на цепочку поставок, не связанная с ConnectWise, — компрометация инфраструктуры обновлений AOMEI Backupper, программы для резервного копирования, клонирования дисков и аварийного восстановления. Google Mandiant и Google Threat Intelligence Group совместно с ManageEngine Threat Analysis Lab назвали этот метод «кратковременным вмешательством в цепочку поставок». С апреля по июль 2026 года кластер UNC7017 несколько раз менял настройки исходного сервера AOMEI: окна вмешательства длились по пять-десять минут. За это время файл конфигурации перенаправлял программу на вредоносный ZIP-архив на серверах злоумышленников, после чего настройки возвращали к подлинным.
Кампания распространяла CROSSROAD и SHINYROAD. Зловреды создавали закрепление через запланированные задания, а модульный бэкдор SHINYROAD загружали методом DLL sideloading, чтобы скрытно управлять заражёнными системами. По данным исследователей, это первый известный случай подобной компрометации, при котором настройки меняли на короткие промежутки, а не оставляли подменёнными постоянно. Среди затронутых организаций были компании ИТ-услуг и телекоммуникаций, учреждения высшего образования и связанные с ними структуры. Пострадавшие находились в Австралии, Бразилии, Индии, Пакистане, Португалии, Сингапуре, Южной Африке, Испании, Швейцарии, Турции и США. Сообщение об инцидентах оставалось предварительным: расследования продолжались.
Изображение носит иллюстративный характер
ConnectWise Cloud Backup — облачный сервис резервного копирования и восстановления для управляемых ИТ-провайдеров (MSP). Он защищает данные Microsoft 365 и Google Workspace, поэтому его разрешения могут охватывать почту и вложения, OneDrive, SharePoint, Microsoft Teams, сведения каталога и восстановление данных. По описанию Todyl, доступ включал чтение и запись почты, вплоть до полного доступа к ящикам через Exchange Web Services. Реальный объём возможного доступа зависит от разрешений, выданных в конкретном арендаторе.
Исследователь Huntress Джонатан Семон сообщил, что скомпрометированные учётные данные приложения использовали для получения токенов Microsoft Graph. Активность зафиксировали 15 октября 2026 года с IP-адреса
144.172.64[.]128, между 06:13 и 08:34 UTC. Переходы между арендаторами шли по отсортированным GUID, с интервалом в несколько секунд. По оценке Huntress, такая последовательность похожа на автоматизированный перебор списка целей. Microsoft отдельно сообщила об успешной аутентификации сервисного принципала с того же адреса в тот же день. Этот IP-адрес фигурировал и в другой активности: 13 и 14 октября 2026 года с него проводили подбор паролей против четырёх арендаторов юридических фирм. Huntress не обнаружила успешных пользовательских входов. Исследователи также заметили возможную склонность атакующих к алфавитному выбору целей: среди наиболее интересных пострадавших были организации, названия которых начинались на «A». Huntress советовала проверять все арендаторы, но допускала, что эта закономерность поможет расставить приоритеты.
Как минимум в одном арендаторе партнёра Huntress обнаружила действия с другим приложением ConnectWise. ConnectWise Cloud Management app for Microsoft Teams добавило себя в роль глобального администратора, а затем запустило Python-скрипт с идентификатором клиента
Python-urllib/3.12. Скрипт добавил новые секреты клиента двум приложениям: инструменту управления MSP и Huntress Security Platform. Оба приложения обладают привилегированным доступом. Если секрет управления MSP используется в арендаторах его клиентов, доступ может распространиться дальше одной организации; секрет приложения средства защиты может дать его владельцу полномочия этого средства. Microsoft и ConnectWise перечислили идентификаторы приложений, связанных с активностью:
- []ConnectWise Cloud Backup —
506e08f9-6e9a-4da4-942b-a099a03644ae []ConnectWise Cloud Management —
2399d300-6fca-4e6a-a686-399fefe75b83 []ConnectWise Cloud Management – MS Teams —
24205314-2b89-4e07-a2a4-579e898a5640 []ConnectWise Cloud Management – Exchange Online —
b78f6a77-d4e5-46fb-87e5-d1648bd02519 []ConnectWise Cloud Management – MS Graph —
0de14c77-b9b0-4137-9360-34878a929827 []ConnectWise Cloud Management – Partner Center —
412dcf96-176d-4b3a-a1b0-4981ad66971e []ConnectWise Cloud Management – SharePoint Online —
b2b55f5b-7758-4719-8d8f-88ae172e6bdb Directory.ReadWrite.All. Компания отслеживает активную атаку через цепочку поставок с использованием доверенного OAuth-приложения ConnectWise Cloud Backup. Microsoft рекомендовала проверять входы сервисных принципалов, изменения учётных данных приложений и OAuth-разрешения. Todyl также сообщила, что обнаружила несанкционированную аутентификацию в Microsoft Graph от имени Cloud Backup. ConnectWise отключила доступ приложения Cloud Backup, пока расследует инцидент и устраняет последствия. Компания сообщила, что не нашла признаков компрометации резервных копий партнёров. Это относится к данным резервного копирования и само по себе не доказывает, что злоумышленники не читали данные арендаторов через выданные приложению разрешения. ConnectWise подтвердила несанкционированный доступ к идентификаторам приложений в среде Cloud Backup.
Администраторам стоит отключить приложение до подтверждения, что ConnectWise сменила все скомпрометированные учётные данные. Нужно включить журналы активности Microsoft Graph, проверить журналы аудита Microsoft Entra на добавление приложений ConnectWise или SkyKick в роли каталога, изучить необычные входы сервисных принципалов, изменения секретов и OAuth-разрешений Cloud Backup. Отдельно следует проверить новые учётные данные, добавленные с 13 октября 2026 года, и аутентификацию с адресов за пределами ожидаемых диапазонов Microsoft и Azure. Huntress отмечала, что обычный исходящий трафик приложения использует частный IPv6 Azure; в журнале следует смотреть столбец IP-адреса. Вкладка «Входы пользователей» по умолчанию нужных событий не покажет.
Обычный отзыв пользовательских сессий не прекращает доступ приложения. Отключение приложения в арендаторе не позволяет выдавать новые токены, но уже выданные могут оставаться действительными до 90 минут. Пока приложение не отключено, арендатор остаётся уязвимым до смены учётных данных ConnectWise. Кроме того, некоторые запросы Microsoft Graph, например чтение отдельных сведений каталога, могут не оставлять следов в журнале. Поэтому отсутствие записи не гарантирует отсутствия доступа.
В сообщении упоминается и отдельная атака на цепочку поставок, не связанная с ConnectWise, — компрометация инфраструктуры обновлений AOMEI Backupper, программы для резервного копирования, клонирования дисков и аварийного восстановления. Google Mandiant и Google Threat Intelligence Group совместно с ManageEngine Threat Analysis Lab назвали этот метод «кратковременным вмешательством в цепочку поставок». С апреля по июль 2026 года кластер UNC7017 несколько раз менял настройки исходного сервера AOMEI: окна вмешательства длились по пять-десять минут. За это время файл конфигурации перенаправлял программу на вредоносный ZIP-архив на серверах злоумышленников, после чего настройки возвращали к подлинным.
Кампания распространяла CROSSROAD и SHINYROAD. Зловреды создавали закрепление через запланированные задания, а модульный бэкдор SHINYROAD загружали методом DLL sideloading, чтобы скрытно управлять заражёнными системами. По данным исследователей, это первый известный случай подобной компрометации, при котором настройки меняли на короткие промежутки, а не оставляли подменёнными постоянно. Среди затронутых организаций были компании ИТ-услуг и телекоммуникаций, учреждения высшего образования и связанные с ними структуры. Пострадавшие находились в Австралии, Бразилии, Индии, Пакистане, Португалии, Сингапуре, Южной Африке, Испании, Швейцарии, Турции и США. Сообщение об инцидентах оставалось предварительным: расследования продолжались.
