Una credencial comprometida de ConnectWise Cloud Backup se usó para iniciar sesión en inquilinos de Microsoft 365

ConnectWise ha suspendido su servicio Cloud Backup, el producto de copias de seguridad para Microsoft 365 antes conocido como SkyKick, tras detectar accesos no autorizados a identidades de aplicación vinculadas a él. Las empresas de seguridad Huntress y Todyl, así como Microsoft, han informado de que un atacante usó la credencial de la aplicación de copias de seguridad para autenticarse directamente en inquilinos de Microsoft 365 de clientes y obtener tokens de acceso de Microsoft Graph, heredando los amplios permisos que los clientes ya habían concedido a la aplicación. Según BleepingComputer y The Hacker News, Microsoft Threat Intelligence lo calificó de ataque activo a la cadena de suministro, afirmó haber observado reconocimiento mediante la Graph API e intentos de añadir credenciales para mantener un acceso de puerta trasera, y evaluó que probablemente se abusó de permisos concedidos previamente, como Directory.ReadWrite.All.

ConnectWise indicó en su aviso que identificó el problema días antes esa misma semana y que informó por primera vez de un intento de acceso no autorizado el 16 de octubre. A primera hora del sábado, anunció que cortaba el acceso de la aplicación Cloud Backup, lo que detiene las copias de seguridad hasta nuevo aviso. Una actualización posterior señaló que la empresa había revocado los certificados de las conexiones de aplicación afectadas para todos los usuarios, que las credenciales compartidas de las que dependía el servicio ya no funcionan y que una empresa externa de respuesta a incidentes le está prestando asistencia. ConnectWise afirmó que desde entonces no ha observado actividad maliciosa exitosa en los entornos que supervisa y que no tiene pruebas de que se accediera a los archivos cifrados de copias de seguridad. Añadió que el diseño del servicio no le da ninguna visibilidad sobre los entornos de los clientes finales, por lo que no puede determinar por sí sola si un inquilino concreto se vio afectado. No se ha establecido si un fallo del producto influyó, y cómo quedó expuesta la credencial sigue bajo investigación. No se ha dado ningún plazo de restablecimiento.

El número de inquilinos afectados varía según la fuente. Huntress escribió que, a las 19:00 UTC del viernes, había confirmado inicios de sesión no autorizados en 162 inquilinos, y BleepingComputer recogió la cifra de Huntress como de al menos 162. The Hacker News informó de que Huntress había observado inicios de sesión no autorizados confirmados en 173 inquilinos. Todyl, citada por BleepingComputer, examinó intrusiones en nueve inquilinos y solo encontró actividad de inicio de sesión, sin ningún indicio de que el atacante creara cuentas, añadiera permisos, restableciera credenciales de usuarios u obtuviera persistencia a través de la aplicación de copias de seguridad. El aviso de ConnectWise no da ninguna cifra de inquilinos, y Huntress señaló que la credencial funciona dondequiera que se haya dado consentimiento a la aplicación, por lo que la exposición no se limita a los casos confirmados.

Huntress dijo que los inicios de sesión del 15 de octubre se produjeron entre las 06:13 y las 08:34 UTC y recorrieron los inquilinos con pocos segundos de diferencia y en orden, lo que interpretó como un script que seguía una lista de objetivos. En unos 50 inquilinos que supervisa, entidades de servicio de aplicaciones ConnectWise Cloud Management se asignaron roles de directorio, sobre todo Exchange Administrator; Huntress dijo que el agente de usuario apuntaba a una automatización del proveedor, pero que no lo había confirmado con ConnectWise. En un inquilino, la aplicación Cloud Management para Microsoft Teams se convirtió en Global Administrator y añadió nuevas credenciales a una aplicación de gestión de MSP y a la propia aplicación de Huntress en unos cinco minutos, aunque Huntress no ha vinculado esa actividad con el operador de los inicios de sesión posteriores desde la IP de un proveedor de hosting. En una actualización del sábado, Huntress expresó alta confianza en que las aplicaciones Cloud Management de Exchange Online, Teams y SharePoint Online también habían sido objeto de abuso. En el único inquilino que revisó a fondo, Huntress no vio acceso a correo ni a archivos, pero señaló que las lecturas de directorio de Graph no dejan rastro de auditoría.

ConnectWise aconseja a los administradores revisar la pestaña de inicios de sesión de entidades de servicio de los registros de Entra para la aplicación de copias de seguridad, buscar orígenes fuera de los rangos previstos de Microsoft y Azure, revisar nuevas credenciales de aplicación, cambios de permisos o consentimiento y accesos inesperados a datos, y conservar los registros relevantes, si bien señala que una anomalía por sí sola no confirma un compromiso. Huntress recomienda deshabilitar, sin eliminarlas, la aplicación de copias de seguridad y toda aplicación de ConnectWise o SkyKick no verificable hasta que ConnectWise confirme el restablecimiento de todas las credenciales, revisar en todas las aplicaciones las credenciales añadidas desde el 13 de octubre y retirar los roles de directorio no deseados. Advirtió que deshabilitar una aplicación no elimina las credenciales ya implantadas. Todyl dijo que deshabilitarla impide nuevos tokens, pero que los ya emitidos siguen siendo válidos hasta 90 minutos y que revocar las sesiones de usuario no pone fin al acceso basado en la aplicación. Microsoft aconseja examinar los inicios de sesión de entidades de servicio desde direcciones IP desconocidas, los cambios en las credenciales de la aplicación y sus concesiones OAuth.