🔍 Contexte

Source : BleepingComputer, publié le 17 octobre 2026. L’article rapporte une attaque de type supply chain ciblant le service ConnectWise Cloud Backup (anciennement SkyKick Cloud Backup), ayant conduit à la compromission de tenants Microsoft 365 de clients MSP.

🎯 Nature de l’attaque

L’attaquant a obtenu les secrets d’application (credentials) des service principals de ConnectWise Cloud Backup dans Microsoft Entra ID, lui permettant de s’authentifier directement auprès de Microsoft 365 sans passer par un login utilisateur. Cette méthode contourne le MFA, car il s’agit d’une authentification applicative.

L’activité malveillante a débuté au moins le 13 octobre 2026, avec des tentatives de connexion scriptées depuis l’IP 144.172.64.128, utilisant des user agents de type curl et python.

📊 Impact confirmé

  • Au moins 162 tenants compromis identifiés par Huntress
  • Accès potentiel à : mails, pièces jointes, fichiers OneDrive/SharePoint, chats Teams
  • Sur ~50 tenants surveillés par Huntress : auto-attribution du rôle Exchange Administrator par les service principals
  • Sur au moins 1 tenant : persistance établie en ~5 minutes, avec attribution du rôle Global Administrator et ajout de credentials à des outils tiers
  • Microsoft a observé : reconnaissance via Microsoft Graph API et tentatives d’ajout de credentials supplémentaires (backdoor)

🛠️ Techniques observées

  • Authentification directe via secret d’application (service principal)
  • Exploitation de la permission Directory.ReadWrite.All
  • Auto-attribution de rôles privilégiés (Exchange Administrator, Global Administrator)
  • Ajout de credentials non autorisés pour persistance
  • Reconnaissance via Microsoft Graph API
  • Scripts automatisés (curl, python-urllib, python-requests)

🆔 Application IDs impliqués

  • ConnectWise Cloud Backup : 506e08f9-6e9a-4da4-942b-a099a03644ae
  • Cloud Management : 2399d300-6fca-4e6a-a686-399fefe75b83
  • Cloud Management - MS Teams : 24205314-2b89-4e07-a2a4-579e898a5640
  • Cloud Management - Exchange Online : b78f6a77-d4e5-46fb-87e5-d1648bd02519
  • Cloud Management - MS Graph : 0de14c77-b9b0-4137-9360-34878a929827
  • Cloud Management - Partner Center : 412dcf96-176d-4b3a-a1b0-4981ad66971e
  • Cloud Management - SharePoint Online : b2b55f5b-7758-4719-8d8f-88ae172e6bdb

📌 Type d’article

Rapport d’incident actif, combinant annonce d’incident et analyse technique initiale, visant à informer les administrateurs MSP sur la compromission en cours et les indicateurs associés.

🧠 TTPs et IOCs détectés

TTP

  • T1078.004 — Valid Accounts: Cloud Accounts (Initial Access)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1098.001 — Account Manipulation: Additional Cloud Credentials (Persistence)
  • T1098.003 — Account Manipulation: Additional Cloud Roles (Privilege Escalation)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1087.004 — Account Discovery: Cloud Account (Discovery)
  • T1530 — Data from Cloud Storage (Collection)
  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 19 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • curl/7.88.1 (tool)
  • python-urllib/3.12 (tool)
  • python-requests/2.31 (tool)
  • python-requests/2.34.2 (tool)

🟡 Indice de vérification factuelle : 64/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 8704 chars — texte complet (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ✅ 1/1 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 144.172.64.128 (ip) → VT (4/92 détections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/