Comment l'attaque a exploité les permissions existantes

Les pirates ont utilisé un identifiant d'application compromis appartenant à ConnectWise Cloud Backup (anciennement SkyKick Cloud Backup) pour s'infiltrer dans des environnements Microsoft 365. Selon Huntress, l'application nécessite un accès étendu aux boîtes aux lettres, OneDrive, SharePoint et Teams pour fonctionner, ce qui a permis aux attaquants d'hériter de ces privilèges une fois l'identifiant compromis. Microsoft confirme que les acteurs malveillants ont abusé de permissions préexistantes, notamment Directory.ReadWrite.All, pour lire et écrire des emails, fichiers et chats Teams sans déclencher d'alertes liées à l'authentification multifactorielle (MFA).

L'attaque a débuté depuis l'adresse IP 144.172.64[.]128, utilisée pour générer des jetons Microsoft Graph dans les tenants ciblés entre le 15 et le 16 octobre 2026. Les connexions se sont faites de manière automatisée, avec des intervalles de quelques secondes, suggérant l'utilisation de scripts pour parcourir les environnements. Todyl souligne que les permissions initiales accordées à l'application lui donnaient déjà un accès complet aux données, facilitant ainsi l'exploitation.

Les permissions initiales accordées à l'application lui donnaient déjà un accès complet aux données, facilitant ainsi l'exploitation par les attaquants.

Les étapes de l'intrusion et les tentatives de persistance

Dès le 13 octobre 2026, des tentatives de password spraying ont été observées contre quatre cabinets d'avocats depuis la même adresse IP, bien que sans succès confirmé. Le 15 octobre, Microsoft a détecté des tentatives d'authentification non autorisées via un service principal lié à SkyKick, qui s'est attribué le rôle Exchange Administrator dans au moins un tenant. Huntress rapporte que dans près de 50 environnements, les attaquants ont cherché à se maintenir en ajoutant des crédentiels supplémentaires ou en attribuant des rôles comme Global Administrator.

Les acteurs malveillants ont également utilisé la Microsoft Graph API pour des tentatives de reconnaissance, comme le confirme Microsoft Threat Intelligence. Par ailleurs, ConnectWise a suspendu l'accès à son service Cloud Backup après la détection de l'incident, mais les jetons déjà émis restent valides jusqu'à 90 minutes, même après désactivation de l'application.

Les recommandations pour limiter les dégâts

ConnectWise recommande de vérifier les connexions des service principals dans Microsoft Entra ID et de révoquer les permissions inutiles. Microsoft, quant à lui, conseille de revoir les changements de crédentiels d'application, les autorisations OAuth et les activités liées à la Graph API. Blumira propose une mesure immédiate : désactiver l'application via son Application ID (506e08f9-6e9a-4da4-942b-a099a03644ae) dans Microsoft Entra, bien que cela ne révoke pas les jetons déjà émis.

Les organisations utilisant SkyKick Cloud Backup, SkyKick Cloud Manager ou ConnectWise Cloud Backup sont potentiellement affectées. Huntress met en garde contre les applications tierces approuvées qui pourraient avoir reçu des secrets clients supplémentaires, comme dans le cas d'un locataire où l'application ConnectWise a ajouté des privilèges à d'autres outils, dont ceux de Huntress elle-même.

Ce que cela change ici

Au Bénin et en Afrique de l'Ouest, où les entreprises et administrations dépendent de plus en plus de solutions cloud comme Microsoft 365 pour leur collaboration et leur stockage, cette attaque rappelle l'importance de surveiller les permissions accordées aux applications tierces. Les fournisseurs de services gérés (MSP) locaux utilisant des outils comme ConnectWise Cloud Backup pourraient voir leurs clients exposés à des risques similaires, surtout si des identifiants d'application à large accès ne sont pas régulièrement audités.

Les organisations pourraient conditionnellement renforcer leurs contrôles d'accès en limitant les permissions des applications tierces aux stricts besoins opérationnels, en activant des alertes pour les modifications de rôles ou d'applications approuvées, et en vérifiant systématiquement les connexions suspectes via des outils comme Microsoft Entra ID. Une vigilance accrue sur les tentatives de reconnaissance via la Graph API serait également cruciale pour détecter rapidement toute activité malveillante.