ConnectWise suspendió el acceso de socios y clientes al servicio Cloud Backup, anteriormente conocido como SkyKick Cloud Backup, después de descubrir un acceso no autorizado a identidades de aplicaciones que se utilizaron para vulnerar inquilinos de Microsoft 365. Microsoft describió el incidente como un ataque activo a la cadena de suministro, mientras que Huntress afirmó haber detectado al menos 162 inquilinos comprometidos dentro de su entorno.
Los indicios de actividad comenzaron a aparecer el 15 de octubre, y Microsoft, Huntress y Todyl rastrearon intentos de inicio de sesión hasta una única dirección IP: 144.172.64[.]128. Microsoft confirmó que ConnectWise Cloud Backup registró intentos de autenticación no autorizados, mientras que ConnectWise afirmó que cerró el acceso de las aplicaciones a sus sistemas y comenzó las labores de investigación y remediación.
¿Cómo se explotaron los permisos de la copia de seguridad?
El servicio de copia de seguridad de Microsoft 365 depende de permisos concedidos a través de Microsoft Entra ID, donde una identidad de aplicación conocida como service principal representa al programa dentro del inquilino del cliente. Según los investigadores de Todyl, el atacante se autenticó directamente utilizando el secreto de la aplicación y aprovechando los permisos que los clientes ya habían concedido al servicio.
El proceso no requirió el inicio de sesión de un usuario, por lo que la autenticación multifactor no fue suficiente para impedirlo. Los permisos amplios permitían técnicamente leer y escribir correos electrónicos y archivos adjuntos, archivos de OneDrive y SharePoint, y chats de Teams. En nueve operaciones examinadas por Todyl, la empresa no encontró pruebas de creación de cuentas, cambio de contraseñas ni establecimiento de un mecanismo de persistencia mediante la aplicación de copia de seguridad.
Intentos de persistencia y permisos administrativos
Huntress detectó en aproximadamente 50 inquilinos que las aplicaciones de ConnectWise Cloud Management para Exchange Online, Microsoft Teams y Microsoft Graph se habían asignado roles de directorio, entre ellos, principalmente, el rol de Exchange Administrator. En un caso, la aplicación Cloud Management - MS Teams se asignó a sí misma el rol de Global Administrator y añadió credenciales a una herramienta de gestión de servicios para proveedores tecnológicos y a una aplicación de Huntress.
Microsoft también detectó actividad posterior a la autenticación de la identidad de aplicación, seguida de reconocimiento mediante Microsoft Graph e intentos de añadir nuevas credenciales. Microsoft indica que el atacante pudo haber explotado permisos existentes, entre ellos Directory.ReadWrite.All.
¿Qué deberían revisar los administradores de Microsoft 365?
ConnectWise recomienda revisar los registros de inicio de sesión de los service principals en Entra, filtrar los resultados utilizando el identificador de aplicación de Cloud Backup y, posteriormente, revisar las direcciones de origen inesperadas. Microsoft también recomienda revisar los cambios en las credenciales de las aplicaciones, las concesiones de OAuth y la actividad relacionada con Graph.
Huntress advierte que desactivar las aplicaciones afectadas no elimina necesariamente las credenciales añadidas previamente al inquilino. Por ello, deberían examinarse los secretos y certificados de todas las aplicaciones en busca de adiciones no autorizadas desde el 13 de octubre. Todyl señala que desactivar la aplicación impide emitir nuevos tokens, pero no invalida los tokens existentes hasta que caduquen; asimismo, revocar las sesiones de los usuarios no detiene el acceso basado en aplicaciones.
Huntress identificó el identificador de aplicación legítimo de Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae, además de otros identificadores de aplicaciones de Cloud Management. También vinculó la actividad a agentes de usuario como curl/7.88.1, python-urllib/3.12, python-requests/2.31 y python-requests/2.34.2.
El alcance de los daños aún no está claro
ConnectWise afirmó que hasta ahora no existen indicios de que se hayan vulnerado los datos de las copias de seguridad almacenadas y que los archivos actuales seguirán disponibles una vez restaurado el servicio. Sin embargo, aún no se han determinado el número final de víctimas, la cantidad de datos que posiblemente fueron robados ni la forma en que el atacante obtuvo las credenciales del proveedor. Además, detener el servicio por sí solo no basta para remediar las consecuencias de la intrusión dentro de inquilinos a los que podrían haberse añadido secretos, certificados o permisos nuevos.