REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Huntress décrit l’abus d’un secret d’API associé à des services ConnectWise, anciennement SkyKick, pour accéder à des environnements Microsoft 365 clients. Le cas souligne l’importance des identités applicatives et des relations d’administration déléguée.
Déroulement décrit par la source
- Un secret d’API appartenant au fournisseur est utilisé pour obtenir des accès non autorisés à des environnements Microsoft 365 clients.
- Le rapport décrit des authentifications dans plusieurs tenants et l’obtention de jetons Microsoft Graph.
- Dans un des cas examinés, des changements de rôles et des ajouts d’identifiants sur d’autres applications élargissent les possibilités d’accès.
Comprendre les mécanismes et les enseignements
- Une identité applicative est un accès à part entière, même sans mot de passe saisi par un utilisateur. Ses permissions et les environnements auxquels elle peut se connecter doivent être inventoriés et surveillés comme ceux d’un compte d’administration.
- Une relation fournisseur peut traverser plusieurs tenants et augmenter la portée d’un secret compromis. La réponse doit identifier précisément les applications, rôles et credentials concernés plutôt que supprimer sans distinction tous les outils nécessaires aux services de sauvegarde ou de gestion.
Les vérifications défensives utiles
- Inventorier les applications et relations déléguées présentes dans Microsoft 365, avec leur responsable et leur justification. Vérifier les consignes du fournisseur concernant l’incident et coordonner toute révocation pour préserver les fonctions métier nécessaires.
- Examiner les connexions d’identités applicatives, les ajouts de secrets ou certificats et les changements de rôles. Rechercher des usages inhabituels de Microsoft Graph et rapprocher les événements de plusieurs services pour déterminer le périmètre réellement accessible.
- Si une activité suspecte est confirmée, révoquer les accès concernés et rechercher les mécanismes de persistance ajoutés à d’autres applications. Conserver les événements et contrôler les comptes privilégiés avant de considérer la rotation du secret initial comme suffisante.
Portée et limites
Les volumes et cas sont ceux documentés par Huntress. Cette synthèse ne prouve pas que tous les clients du fournisseur aient subi un accès et ne prescrit pas une suppression générale des applications ConnectWise. Le degré d’automatisation n’est pas établi pour l’ensemble de l’activité ; une seconde passe décrite par Huntress semblait manuelle.
Rapport original
ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks — www.huntress.com.