ConnectWise har pausat sin Cloud Backup-tjänst och inaktiverat sju applikationsidentiteter efter att angripare använt stulna inloggningsuppgifter för att få obehörig åtkomst till kunders Microsoft 365-konton, vilket stoppar säkerhetskopieringar och återställningar medan bolaget utreder händelsen.
ConnectWise uppgav att man upptäckte den obehöriga åtkomsten den 14 oktober och inaktiverade identiteterna den 17 oktober. De drabbade tjänsterna omfattar Cloud Backup och ett flertal Cloud Management-kopplingar för Microsoft-applikationer. Enligt säkerhetsföretaget Huntress tillhörde de komprometterade inloggningsuppgifterna backup-applikationen.
Detta gjorde det möjligt för angriparna att autentisera sig med hjälp av en identitet som kundernas system redan litade på, i stället för att bryta sig in på varje konto separat. Huntress upptäckte även att i ett partnerkonto tilldelade en separat ConnectWise Teams-applikation sig själv Global Administrator-behörighet och lade till behörigheter i andra applikationer. Enligt en uppdatering från ConnectWise den 19 oktober var Cloud Backup, SaaS Security och Cloud Management fortfarande avstängda.
Nedstängningen innebär att schemalagda säkerhetskopieringar, arkivåtkomst och dataåterställningar inte är tillgängliga. ConnectWise uppgav att befintliga säkerhetskopieringsarkiv förblir krypterade och intakta, och att det inte finns några tecken på att angripare har kommit åt dem. Företaget har inte bekräftat när de avstängda tjänsterna åter kommer i drift.
ConnectWise rapporterade att ingen framgångsrik hotaktivitet har upptäckts i de miljöer företaget övervakar efter att skyddsåtgärder införts. Samtidigt uppmanade företaget sina partners att granska sina egna och sina kunders Microsoft 365-konton och hålla de berörda applikationerna inaktiverade i väntan på ytterligare instruktioner.