ConnectWise anunció la suspensión de varios de sus servicios principales en la nube, incluidos Cloud Backup, SaaS Security y Cloud Management, tras detectar una actividad no segura en la que atacantes aprovecharon credenciales comprometidas para acceder a los entornos de clientes en la plataforma Microsoft 365.
Cronología de los acontecimientos y servicios afectados
La crisis comenzó cuando la empresa detectó actividad no autorizada dentro del entorno de copia de seguridad en la nube, lo que la llevó a suspender el servicio anteriormente conocido como SkyKick el 17 de octubre, aproximadamente 12 horas después de iniciar las investigaciones. Conforme se ampliaba el alcance de la investigación, al día siguiente la compañía decidió suspender de manera preventiva los servicios de SaaS Security y Cloud Management para implementar medidas de protección y mitigar posibles impactos.
Esta medida preventiva interrumpió las programaciones de copias de seguridad, el acceso a archivos y las operaciones de restauración, además de afectar la monitorización y las alertas de seguridad SaaS, así como la gestión de usuarios y licencias. La empresa aún no ha proporcionado un cronograma preciso para el restablecimiento completo de los servicios, pero ha publicado directrices técnicas para ayudar a los proveedores de servicios gestionados (MSP) a revisar y proteger sus entornos.
Naturaleza de la brecha y el papel de Huntress
Por su parte, la empresa de ciberseguridad Huntress explicó que las credenciales de copia de seguridad comprometidas se utilizaron para acceder a inquilinos de Microsoft 365 a partir de mediados de octubre. Los análisis técnicos indicaron que el tipo de credencial correspondía a una afirmación de cliente (client assertion), lo que implica que la credencial se encontraba dentro del propio entorno del proveedor y no surgió como resultado de una acción por parte de los clientes.
Huntress detectó actividad procedente de una dirección de protocolo de Internet (IP) que se había utilizado en ataques de password spraying contra bufetes de abogados, donde los atacantes se infiltraron mediante scripts dirigidos a listas específicas en entornos Entra. A pesar del éxito de algunos intentos de inicio de sesión, la compañía confirmó que el acceso efectivo requería la presencia del principal de servicio (service principal) de ConnectWise dentro del inquilino objetivo.
¿Qué cambia en la práctica?
Los propietarios de empresas y los administradores de TI se enfrentan a la pesada responsabilidad de verificar que el actor de la amenaza no haya alterado las configuraciones de la plataforma Microsoft 365 ni haya establecido mecanismos de persistencia dentro de sus inquilinos. Según los expertos en ciberseguridad, algunos administradores de TI creen erróneamente que Microsoft realiza copias de seguridad automáticas de los ajustes de configuración, lo que convierte la recuperación frente a tales ataques en un proceso complejo que requiere una auditoría manual exhaustiva por parte de los equipos de seguridad.