A empresa ConnectWise anunciou a suspensão de vários de seus principais serviços em nuvem, incluindo backup em nuvem (Cloud Backup), segurança de software como serviço (SaaS Security) e gerenciamento em nuvem (Cloud Management), na sequência da detecção de atividade insegura que consistiu na exploração de credenciais comprometidas por invasores para acessar os ambientes dos clientes na plataforma Microsoft 365.
Cronologia dos eventos e serviços afetados
A crise começou quando a empresa detectou atividades não autorizadas dentro do ambiente de backup em nuvem, o que a levou a interromper o serviço anteriormente conhecido como SkyKick em 17 de outubro, cerca de 12 horas após o início das investigações. Com a expansão do escopo da investigação, a empresa decidiu no dia seguinte suspender preventivamente os serviços de segurança de SaaS e gerenciamento em nuvem para implementar medidas de proteção e mitigar possíveis impactos.
Esta medida preventiva interrompeu os cronogramas de backup, o acesso ao arquivo morto e as operações de restauração, além de afetar o monitoramento e os alertas de segurança de SaaS, bem como o gerenciamento de usuários e licenças. A empresa ainda não forneceu um cronograma preciso para o retorno completo dos serviços, mas publicou orientações técnicas para ajudar os provedores de serviços gerenciados (MSPs) a revisar e proteger seus ambientes.
Natureza da invasão e o papel da Huntress
Por sua vez, a empresa de segurança cibernética Huntress esclareceu que as credenciais de backup comprometidas foram usadas para acessar inquilinos do Microsoft 365 a partir de meados de outubro. Análises técnicas indicaram que o tipo de credencial era uma asserção de cliente (client assertion), o que significa que a credencial existia dentro do ambiente do próprio provedor e não como resultado de alguma ação por parte dos clientes.
A Huntress detectou atividade de um endereço de protocolo de internet (IP) usado em ataques de força bruta de senha (password spraying) contra firmas de advocacia, onde os invasores se infiltraram por meio de scripts direcionados a listas específicas em ambientes Entra. Apesar do sucesso de algumas tentativas de login, a empresa confirmou que o acesso real exigia a presença do principal de serviço (service principal) da ConnectWise dentro do inquilino alvo.
O que muda na prática?
Proprietários de empresas e administradores de TI enfrentam a pesada responsabilidade de verificar se a parte invasora alterou as configurações da plataforma Microsoft 365 ou criou mecanismos de persistência dentro de seus inquilinos. De acordo com especialistas em segurança cibernética, alguns administradores de TI acreditam erroneamente que a Microsoft faz backup automaticamente das configurações, tornando a recuperação de tais ataques complexa e exigindo uma auditoria manual completa pelas equipes de segurança.