Cảnh báo chiến dịch tấn công Microsoft 365 lạm dụng thông tin xác thực ConnectWise

Một chiến dịch tấn công chuỗi cung ứng tinh vi vừa được các nhà nghiên cứu bảo mật phát hiện, trong đó tin tặc lợi dụng thông tin xác thực bị rò rỉ của ứng dụng ConnectWise Cloud Backup để xâm nhập vào hệ thống Microsoft 365 của hàng loạt khách hàng.

Phân tích chiến dịch tấn công chuỗi cung ứng qua ConnectWise

Theo báo cáo, kẻ tấn công đã nhắm mục tiêu vào 173 môi trường Microsoft 365 thông qua việc lạm dụng thông tin xác thực API của ứng dụng ConnectWise Cloud Backup (trước đây là SkyKick Backup). Đây là minh chứng rõ ràng cho những rủi ro tiềm ẩn khi các ứng dụng đa người dùng sở hữu quyền hạn quá rộng trong môi trường điện toán đám mây.

Thay vì sử dụng mật khẩu người dùng thông thường hay các kỹ thuật lừa đảo qua mạng truyền tải, kẻ gian lại tận dụng một API secret bị lộ của nhà cung cấp. Cách thức này cho phép chúng thực hiện xác thực dưới danh nghĩa ứng dụng độc lập, từ đó dễ dàng vượt qua mọi rào cản xác thực đa yếu tố được thiết lập cho người dùng cuối.

Chi tiết kỹ thuật về phương thức khai thác

Quá trình điều tra cho thấy tin tặc đã sử dụng ứng dụng mang mã định danh 506e08f9-6e9a-4da4-942b-a099a03644ae để thực hiện các yêu cầu xác thực. Vào ngày 15 tháng 10 năm 2026, các phiên đăng nhập đáng ngờ bắt nguồn từ địa chỉ IP 144.172.64[.]128 đã được ghi nhận. Hệ thống ghi nhận các token truy cập Microsoft Graph được cấp phát liên tục từ 06:13 đến 08:34 UTC, minh chứng cho việc sử dụng kịch bản tự động hóa nhắm vào danh sách mục tiêu có sẵn.

Bên cạnh đó, kẻ tấn công còn thực hiện leo thang đặc quyền bằng một ứng dụng thứ hai mang tên ConnectWise Cloud Management – MS Teams (App ID: 24205314-2b89-4e07-a2a4-579e898a5640). Ứng dụng này tự gán quyền Global Administrator, đồng thời thực thi các đoạn mã Python nhằm bổ sung client secret mới vào các ứng dụng tin cậy khác, giúp duy trì quyền truy cập lâu dài ngay cả khi ứng dụng ban đầu bị xử lý.

Chỉ số thỏa hiệp và hướng dẫn phòng thủ

Để bảo vệ hệ thống, đội ngũ vận hành an ninh mạng cần tập trung giám sát nhật ký đăng nhập của Service Principal trong Microsoft Entra ID thay vì chỉ kiểm tra tài khoản người dùng thông thường. Các bước cần thực hiện bao gồm lọc sự kiện đăng nhập liên quan đến các App ID kể trên, kiểm tra danh sách quyền Global Administrator, và rà soát các secret hoặc chứng chỉ được thêm mới sau ngày 13 tháng 10 năm 2026.

Các chuyên gia cũng lưu ý quản trị viên nên ưu tiên trạng thái vô hiệu hóa tạm thời các Service Principal của ConnectWise thay vì xóa bỏ hoàn toàn. Việc xóa ứng dụng có thể làm mất quyền truy cập vào các bản sao lưu hiện có, gây cản trở lớn cho công tác khôi phục dữ liệu.