ConnectWise Cloud Backup(구 SkyKick)의 자격 증명이 악용돼 공격자가 고객사의 Microsoft 365 테넌트에 접근한 정황이 확인됐다. Huntress는 10월 16일 19시(UTC) 기준 162개 테넌트에서 무단 로그인을 확인했으며, 해당 앱을 설치한 조직은 데이터 접근 여부가 확인되지 않았더라도 앱을 비활성화하고 자격 증명과 권한을 점검해야 한다고 권고했다.
Huntress에 따르면 공격자는 10월 15일 호스팅 업체 주소인 144.172.64[.]128에서 ConnectWise 앱 자격 증명을 이용해 Microsoft Graph 토큰을 발급받았다. 이 자격 증명은 공급업체 테넌트에 있어 고객사의 환경에서 만들어진 것이 아니며, 앱이 동의받은 모든 테넌트에서 사용할 수 있다. 백업 서비스에 부여된 권한에 따라 메일, OneDrive·SharePoint 파일, Teams 데이터와 디렉터리 정보에 접근할 수 있다.
Huntress가 한 고객 테넌트에서 확인한 사례에서는 ConnectWise Cloud Management의 MS Teams 앱이 스스로 전역 관리자 역할을 부여하고, MSP 관리 앱과 Huntress Security Platform 앱에 새 클라이언트 비밀을 추가했다. 변경은 약 5분 동안 이뤄졌다. 해당 앱 인증이 144.172.64[.]128에서 처음 관측되기 약 2시간 반 전에 발생했지만, 앞선 활동의 출발지 주소가 없어 두 단계가 같은 운영자의 소행인지는 확인되지 않았다.
Huntress는 자세히 살펴본 한 테넌트의 감사 로그에서 메일이나 파일에 접근한 기록을 찾지 못했다. 다만 Microsoft Graph를 통한 디렉터리 읽기는 감사 기록에 남지 않을 수 있어, 로그에 흔적이 없다고 데이터 접근이 없었다고 단정할 수는 없다. 앱 전용 인증은 사용자 로그인이나 다중 인증 절차 없이 이뤄질 수 있으며, 실제 영향은 각 테넌트에서 앱에 부여한 권한에 따라 달라진다.
조직이 해야 할 조치
Huntress는 Microsoft Entra 관리 센터의 Enterprise applications에서 앱 ID 506e08f9-6e9a-4da4-942b-a099a03644ae를 찾아 Enabled for users to sign-in을 No로 설정하라고 권고했다. 앱을 삭제하면 동의 설정이 제거돼 서비스를 복구할 때 다시 동의해야 하므로 삭제하지 말아야 한다. 비활성화하면 자동 백업은 중단되지만 이메일, 파일, Teams 메시지와 사용자 로그인은 계속 작동하며, ConnectWise에 보관된 기존 백업도 삭제되지 않는다.
테넌트에 있는 다른 ConnectWise·SkyKick 앱도 확인하고, 안전성을 검증할 수 없다면 삭제하지 말고 비활성화해야 한다. 특히 앱에 부여된 디렉터리 역할과 10월 13일 이후 관리·보안 도구에 추가된 클라이언트 비밀 및 인증서를 검토하고, 예상하지 못한 항목은 제거해야 한다. ConnectWise가 모든 자격 증명을 재설정했다고 확인하기 전에는 앱을 다시 활성화하지 말아야 한다.
로그를 확인할 때는 Entra 관리 센터의 Monitoring > Sign-in logs에서 Service principal sign-ins 탭을 열고 해당 앱 ID를 필터링한다. 기본 User sign-ins 탭에는 이 데이터가 표시되지 않는다. 144.172.64[.]128과 Microsoft/Azure 대역이 아닌 출발지 주소를 살피되, 이상 징후가 없어도 앱은 비활성화해야 한다. 조건부 액세스 정책에서 해당 앱을 제외했는지도 점검할 필요가 있다.
ConnectWise는 웹사이트에서 사고를 인정하고 해당 IP가 무단 활동과 관련 있다고 확인했다. Todyl도 사고 조사 내용을 공개했다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요