ConnectWise suspende Cloud Backup tras el compromiso de una credencial con acceso a tenants de Microsoft 365 de sus clientes

hace 12 horas

5 min de lectura

Logo Connectwise

ConnectWise ha dejado fuera de servicio Cloud Backup (antes SkyKick), SaaS Security y Cloud Management mientras investiga un acceso no autorizado a las identidades de aplicación de Cloud Backup. Según Huntress, Microsoft y Todyl, el atacante usó la credencial de esa aplicación para entrar en tenants de Microsoft 365 de clientes de proveedores de servicios gestionados (MSP). A 19 de octubre, no había una hora confirmada de restauración y se desconoce cómo se obtuvo la credencial.

Análisis técnico

Para hacer copias de Microsoft 365, el servicio se apoya en permisos concedidos a través de Microsoft Entra ID. En cada tenant cliente existe un service principal que representa a la aplicación y le da acceso a recursos según lo consentido.

El problema es que ese modelo traslada la confianza a la credencial de la aplicación. Con ella, el atacante puede autenticarse como la propia aplicación y pedir tokens a Entra ID con los permisos que esta ya tiene, sin robar la contraseña de cada cliente. Según Todyl, los inicios de sesión fueron automatizados y sin usuario, por lo que protecciones como MFA no intervinieron. Los permisos ya concedidos permitían leer y escribir correo y adjuntos, archivos de OneDrive y SharePoint, y chats de Teams. Microsoft Threat Intelligence lo califica de ataque activo a la cadena de suministro y estima que el atacante probablemente abusó de permisos existentes, entre ellos Directory.ReadWrite.All.

La explotación varía por tenant. Huntress observó en cerca de 50 tenants que las aplicaciones de Cloud Management (Exchange Online, Teams y Graph) se asignaron roles de directorio, sobre todo Exchange Administrator. En uno de ellos, la aplicación de Teams se otorgó Global Administrator y añadió credenciales a una herramienta de gestión de MSP y a una aplicación de Huntress, en unos cinco minutos. Esto permite mantener el acceso aunque después se revoque la credencial original: las credenciales añadidas a otras aplicaciones sirven como vía alternativa de reentrada. Microsoft también observó persistencia mediante una puerta trasera, reconocimiento con Graph API e intentos de añadir credenciales. En cambio, en los nueve tenants que analizó Todyl solo hubo inicios de sesión, sin evidencia de cuentas, permisos o persistencia creados a través de la aplicación de backup.

Huntress detectó además una segunda oleada dirigida el 15 de octubre contra 16 tenants de los sectores de política, seguridad nacional, comercio y minerales críticos. Fracasó. La segunda de sus dos barridas parecía manual y apuntó a Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra y las API de gestión de Office 365. No hay atribución pública: ConnectWise ha dicho que por ahora no puede hablar de atribución.

Alcance e impacto verificado

Cronología

13-14 octubre: Huntress vincula la IP del atacante con intentos de acceso mediante scripts el 13 y 14 de octubre.
15 octubre: Microsoft identifica intentos de autenticación no autorizados desde esa IP. ConnectWise sitúa ese día la identificación del acceso no autorizado, aunque The Hacker News, citando el estado del servicio de la compañía, indica el 14.
16 octubre: ConnectWise publica su aviso.
17 octubre: anuncia a las 05:01 UTC la interrupción del servicio y a las 07:00 UTC deshabilita siete identidades de aplicación y revoca los certificados de las conexiones afectadas.
19 octubre: los servicios siguen suspendidos.

Lo que confirma ConnectWise

Los secretos compartidos de Cloud Backup ya no son válidos, pero los tokens emitidos antes pueden seguir siendo utilizables hasta que caduquen. Desactivar las conexiones no revierte cambios hechos dentro de un tenant. Los archivos de copia siguen cifrados y aislados, sin evidencia de que se haya accedido a ellos. Desde las mitigaciones no ha visto actividad exitosa en los entornos que monitoriza, pero eso no establece el estado de los entornos de clientes, que no puede observar. Subraya que la suspensión no debe interpretarse como prueba de que el entorno de un partner o cliente esté comprometido.

Cifras

Huntress contabilizó al menos 162 tenants comprometidos en su entorno el 17 de octubre. The Hacker News publicó una cifra de 173. La última actualización de Huntress habla de casi 1.000 tenants de Entra con inicios de sesión desde la IP del atacante, de los que unos 300 tuvieron éxito. En algunos, la ausencia de un service principal impidió el acceso. Son datos del parque que monitoriza Huntress. ConnectWise no tiene visibilidad de los entornos de sus clientes y depende de que los MSP los revisen, de modo que el total real no consta.

No confirmado

No se sabe si una vulnerabilidad de producto contribuyó al compromiso de las identidades de aplicación. El mecanismo de exposición de la credencial sigue en análisis.

Impacto operativo

No se ejecutan copias programadas y no hay acceso a archivos ni restauraciones. SaaS Security (monitorización y alertas) y Cloud Management (usuarios y licencias) están fuera de servicio. Muchos usuarios finales ni siquiera saben que su MSP usa esta plataforma: los MSP no están obligados a revelar las herramientas con las que prestan el servicio.

Mitigación y recomendaciones

Las medidas coinciden entre ConnectWise, Huntress y Microsoft:

Revisar el tenant propio y el de cada cliente gestionado, incluidas conexiones de SkyKick latentes.
Comprobar el estado de las aplicaciones listadas y mantenerlas deshabilitadas hasta nuevo aviso.
Preservar los registros de inicio de sesión y auditoría antes de contener.
Revisar inicios de sesión desde el 13 de octubre, en particular los originados en las IP indicadas.
Revisar secretos y certificados de todas las aplicaciones en busca de adiciones desde el 13 de octubre y eliminar las no autorizadas, porque la parada del proveedor no borra credenciales ya plantadas.
Revisar roles de directorio, propietarios, consentimientos y cambios de política, además de reenvíos de buzón, reglas de bandeja o transporte y delegaciones.
Tener presente que deshabilitar una aplicación frena la emisión de nuevos tokens, pero los existentes siguen válidos hasta caducar, y revocar sesiones de usuario no corta el acceso basado en aplicación.

Controles preventivos de Entra que cita Huntress: políticas de gestión de aplicaciones para restringir secretos de cliente y limitar la vida de las credenciales, menos titulares de los roles Application Administrator y Cloud Application Administrator, Conditional Access para identidades de carga de trabajo (requiere licencia adicional) y Entra ID Protection para señalar service principals de riesgo.

Indicadores publicados

IP: 144.172.64[.]128, 144.172.64[.]99 y 144.172.64[.]60. User agents: curl/7.88.1, python-urllib/3.12, python-requests/2.31 y python-requests/2.34.2. Identidades deshabilitadas por ConnectWise (también pueden aparecer como “SkyKick Cloud Manager” en tenants antiguos):

Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae

Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83

Cloud Management - MS Teams 24205314-2b89-4e07-a2a4-579e898a5640

Cloud Management - Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519

Cloud Management - MS Graph 0de14c77-b9b0-4137-9360-34878a929827

Cloud Management - Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e

Cloud Management - SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb