Cảnh báo: Tin tặc lợi dụng thông tin xác thực ConnectWise để xâm nhập 173 hệ thống Microsoft 365

Các chuyên gia an ninh mạng đang phát đi cảnh báo về một chiến dịch tấn công đang diễn ra, nơi kẻ xấu lợi dụng thông tin xác thực bị xâm nhập của dịch vụ ConnectWise Cloud Backup (trước đây là SkyKick) để truy cập trái phép vào môi trường Microsoft 365 (M365) của khách hàng. ConnectWise Cloud Backup là dịch vụ sao lưu đám mây dành cho các nhà cung cấp dịch vụ quản lý (MSP), vốn được cấp quyền truy cập sâu vào dữ liệu trên mailboxes, OneDrive, SharePoint và Teams.

Phạm vi ảnh hưởng và phương thức tấn công

Theo báo cáo từ Huntress, đã có 173 khách hàng bị ảnh hưởng. Kẻ tấn công sử dụng các token Microsoft Graph để di chuyển qua các tenant theo danh sách mục tiêu định sẵn. Do ứng dụng này vốn có quyền truy cập rộng rãi, kẻ tấn công có thể đọc dữ liệu email, tệp tin và thông tin thư mục mà không gặp trở ngại.

Đáng chú ý, trong một số trường hợp, tin tặc đã sử dụng một ứng dụng ConnectWise khác để tự gán quyền Global Administrator, sau đó thực thi các script Python nhằm thêm thông tin xác thực mới vào các ứng dụng quản lý MSP và các nền tảng bảo mật khác. Điều này mở rộng phạm vi tấn công từ một tenant đơn lẻ sang toàn bộ hệ sinh thái quản lý của nhà cung cấp.

Khuyến nghị từ chuyên gia

Hiện tại, ConnectWise đã tạm thời đóng quyền truy cập của ứng dụng Cloud Backup. Tuy nhiên, việc thu hồi phiên làm việc (session) của người dùng không đủ để ngăn chặn truy cập này. Các quản trị viên hệ thống cần thực hiện ngay các bước sau:

• Kiểm tra nhật ký đăng nhập (Sign-in logs) trong Microsoft Entra Admin Center, lọc theo Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
• Rà soát các địa chỉ IP đáng ngờ, đặc biệt là IP 144.172.64[.]128.
• Vô hiệu hóa ứng dụng ConnectWise trong tenant cho đến khi có thông báo xác nhận từ nhà cung cấp.
• Kiểm tra các thay đổi trong nhật ký kiểm toán (audit logs) để phát hiện việc ứng dụng tự gán quyền quản trị hoặc thêm credential mới kể từ ngày 13/10/2026.

Ngoài sự cố ConnectWise, các nhà nghiên cứu cũng cảnh báo về một chiến dịch tấn công chuỗi cung ứng khác nhắm vào phần mềm AOMEI Backupper. Kẻ tấn công (nhóm UNC7017) đã thực hiện kỹ thuật “tấn công chớp nhoáng” vào máy chủ cập nhật của AOMEI, thay thế tệp tin cập nhật hợp lệ bằng mã độc CROSSROAD và SHINYROAD trong khoảng thời gian rất ngắn (5-10 phút) để vượt qua các biện pháp phòng thủ truyền thống.

Nguồn tham khảo: The Hacker News