Cảnh báo: Tin tặc lạm dụng thông tin xác thực ConnectWise để tấn công Microsoft 365

• Chiến dịch tấn công: Tin tặc đã chiếm đoạt thông tin xác thực API của ConnectWise Cloud Backup để truy cập trái phép vào 173 môi trường Microsoft 365.
• Cơ chế khai thác: Kẻ tấn công sử dụng OAuth App ID hợp lệ để vượt qua xác thực MFA, thực hiện các hành vi leo thang đặc quyền và duy trì sự hiện diện.
• Tác động: Các ứng dụng độc hại đã được cài đặt, bao gồm việc gán quyền Global Administrator và tạo thêm các client secret để duy trì truy cập lâu dài.
• Khuyến nghị: Quản trị viên cần rà soát ngay lập tức các ứng dụng OAuth, kiểm tra nhật ký đăng nhập Service Principal và vô hiệu hóa các ứng dụng không xác định.

Phân tích chiến dịch tấn công chuỗi cung ứng qua ConnectWise

Các nhà nghiên cứu bảo mật vừa công bố báo cáo về một chiến dịch tấn công chuỗi cung ứng (supply chain attack) tinh vi, trong đó kẻ tấn công đã lợi dụng thông tin xác thực bị rò rỉ của ứng dụng ConnectWise Cloud Backup (trước đây là SkyKick Backup) để xâm nhập vào 173 khách hàng Microsoft 365. Đây là một ví dụ điển hình về rủi ro khi các ứng dụng đa người dùng (multitenant app) sở hữu quyền hạn quá rộng trong môi trường đám mây.

Theo các phân tích kỹ thuật, kẻ tấn công không sử dụng mật khẩu người dùng thông thường hay các kỹ thuật lừa đảo (phishing) truyền thống. Thay vào đó, chúng sử dụng một API secret bị lộ của nhà cung cấp để thực hiện xác thực dưới danh nghĩa ứng dụng (app-only identity). Điều này cho phép kẻ tấn công vượt qua mọi rào cản xác thực đa yếu tố (MFA) vốn được thiết lập cho người dùng cuối.

Chi tiết kỹ thuật về phương thức khai thác

Kẻ tấn công đã sử dụng ứng dụng có ID 506e08f9-6e9a-4da4-942b-a099a03644ae để thực hiện các yêu cầu xác thực. Vào ngày 15 tháng 10 năm 2026, các phiên đăng nhập đáng ngờ được ghi nhận từ địa chỉ IP 144.172.64[.]128. Các token truy cập Microsoft Graph đã được cấp phát liên tục trong khoảng thời gian từ 06:13 đến 08:34 UTC, cho thấy sự hiện diện của một kịch bản tự động hóa (automated script) nhắm vào danh sách mục tiêu đã được chuẩn bị sẵn.

Đáng chú ý, kẻ tấn công đã thực hiện leo thang đặc quyền bằng cách sử dụng một ứng dụng thứ hai có tên ConnectWise Cloud Management – MS Teams (App ID: 24205314-2b89-4e07-a2a4-579e898a5640). Ứng dụng này đã tự gán quyền Global Administrator và thực thi các script Python để thêm mới các client secret vào các ứng dụng tin cậy khác trong hệ thống, đảm bảo khả năng quay lại (persistence) ngay cả khi ứng dụng gốc bị vô hiệu hóa.

Bảng tổng hợp các chỉ số thỏa hiệp (IOCs)

Hướng dẫn săn tìm mối đe dọa và phòng thủ

Để phát hiện các dấu hiệu xâm nhập, đội ngũ SOC cần tập trung vào nhật ký đăng nhập của Service Principal trong Microsoft Entra ID, thay vì chỉ kiểm tra nhật ký đăng nhập người dùng thông thường. Các quản trị viên nên thực hiện các bước sau:

• Rà soát nhật ký: Lọc các sự kiện đăng nhập liên quan đến các App ID nêu trên và tìm kiếm các hành vi bất thường từ IP 144.172.64[.]128.
• Kiểm tra quyền hạn: Kiểm tra danh sách các ứng dụng được gán quyền Global Administrator hoặc các quyền đặc quyền khác trong Directory Roles.
• Kiểm tra Client Secret: Rà soát tất cả các ứng dụng trong hệ thống để tìm kiếm các secret hoặc chứng chỉ (certificate) được thêm mới sau ngày 13 tháng 10 năm 2026.
• Vô hiệu hóa tạm thời: Nếu phát hiện dấu hiệu bất thường, hãy vô hiệu hóa (disable) các Service Principal của ConnectWise thay vì xóa bỏ hoàn toàn để tránh làm gián đoạn dịch vụ và mất dữ liệu sao lưu.

⚠️ Cảnh báo quan trọng: Việc xóa bỏ ứng dụng (delete) sẽ làm mất quyền truy cập vào các bản sao lưu hiện có và gây khó khăn cho quá trình khôi phục dịch vụ. Hãy ưu tiên trạng thái vô hiệu hóa (disable) cho đến khi nhà cung cấp xác nhận đã xử lý triệt để các lỗ hổng bảo mật.

Để biết thêm chi tiết về các kỹ thuật săn tìm mối đe dọa, các chuyên gia khuyến nghị tham khảo tài liệu từ Microsoft Threat Intelligence về các chiến dịch lạm dụng OAuth và Service Principal trong môi trường đám mây.