ConnectWise suspendió el acceso a su servicio de Cloud Backup tras un ataque de cadena de suministro que comprometió identidades de aplicaciones y permitió el acceso no autorizado a inquilinos de Microsoft 365. Los atacantes utilizaron scripts automatizados para saltar la autenticación multifactor (MFA) y obtener permisos elevados para leer y escribir correos, archivos y chats. Expertos recomiendan a los administradores revisar sus registros de Entra ID y eliminar cualquier credencial o permiso sospechoso creado desde mediados de octubre.



ConnectWise ha suspendido el acceso de los clientes a su servicio de Cloud Backup (anteriormente SkyKick Cloud Backup) después de que unos hackers accedieran a identidades de aplicaciones y comprometieran tenants de Microsoft 365.

Los informes sobre la actividad maliciosa comenzaron a surgir el viernes, con administradores observando accesos no autorizados a los datos de clientes en tenants de Microsoft 365 debido a una posible “brecha de SkyKick/CW”.

Más tarde ese mismo día, la plataforma de detección de amenazas y ciberseguridad gestionada Huntress confirmó las preocupaciones, afirmando que había identificado al menos 162 tenants comprometidos en su entorno.

En una publicación hoy, Microsoft también confirmó la actividad maliciosa que involucra el servicio de Cloud Backup de ConnectWise, indicando que identificó intentos de autenticación no autorizados desde una dirección IP el 15 de octubre.

Las soluciones de respaldo en la nube de ConnectWise proporcionan servicios de copia de seguridad y recuperación que ayudan a los proveedores de servicios gestionados (MSP) y a los equipos de TI a proteger y restaurar los datos de los clientes, como correos electrónicos y archivos, en entornos de nube que incluyen Microsoft 365 y Google Workspace.

Para las copias de seguridad de Microsoft 365, el servicio depende de los permisos concedidos a través de Microsoft Entra ID. Una identidad de aplicación conocida como “principal de servicio” representa el software en el tenant de un cliente y le permite acceder a los recursos según los permisos otorgados.

microsoft 365 tenant breaches

En un aviso de seguridad https://www.connectwise.com/company/trust/advisories, ConnectWise dijo que “recientemente identificó accesos no autorizados a identidades de aplicaciones dentro del entorno de ConnectWise Cloud Backup” y suspendió el acceso a las aplicaciones para sus socios y clientes.

“Hasta la fecha no tenemos indicadores de que los datos de respaldo de los socios de Cloud Backup hayan sido comprometidos. El archivo de copia de seguridad en la nube existente no se ve afectado por esta interrupción del servicio y estará accesible una vez que se restablezcan los servicios”, afirma ConnectWise https://www.connectwise.com/company/trust/advisories.

Sin embargo, la empresa ha puesto en marcha una investigación y está realizando esfuerzos de remediación.

Según informes de Microsoft, Huntress y administradores, la actividad maliciosa comenzó al menos el 15 de octubre desde una única dirección IP: 144.172.64[.]128.

Un usuario en Reddit dijo https://www.reddit.com/r/msp/comments/1x7gw61/comment/ph55a0f/ que recibió una notificación del servicio de Administración de Identidades Privilegiadas (PIM) de Microsoft el 15 de octubre alertando que un principal de servicio de SkyKick se asignó a sí mismo el rol de Administrador de Exchange, a pesar de no utilizar la aplicación en años.

No obstante, algunas de las identidades reportadas para el SkyKick ofensivo coinciden con las proporcionadas por Huntress, Microsoft y Todyl, una plataforma de ciberseguridad principalmente para MSP y profesionales de TI.

Según los investigadores de Todyl, el atacante se autenticó directamente en Microsoft 365 como la aplicación de respaldo utilizando su secreto, obteniendo los permisos que los clientes ya le habían otorgado.

Las solicitudes de inicio de sesión fueron realizadas por un guion automatizado y, dado que no implicaban el inicio de sesión de un usuario, las protecciones como la autenticación multifactor (MFA) fueron ineficaces.

“Debido a que la aplicación ya poseía permisos amplios concedidos previamente en cada tenant, esos inicios de sesión dieron al atacante la capacidad técnica de leer y escribir correos electrónicos y archivos adjuntos, archivos de OneDrive y SharePoint, y chats de Teams”, dijo Todyl https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app.

En las intrusiones analizadas en nueve tenants, los investigadores de Todyl identificaron solo actividad de inicio de sesión y no encontraron evidencia de que el actor de la amenaza “creara cuentas, añadiera permisos, cambiara contraseñas o estableciera persistencia en ningún tenant a través de la aplicación de respaldo”.

reconnaissance and persistence attempts

Sin embargo, Huntress observó https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access en casi 50 tenants que monitorea que los principales de servicio para las “aplicaciones de Cloud Management de ConnectWise (Exchange Online, Microsoft Teams y Microsoft Graph) se asignaron a sí mismos roles de directorio, principalmente Administrador de Exchange”.

En un tenant, los investigadores de Huntress también observaron que el atacante estableció persistencia, operación que tomó alrededor de cinco minutos.

Durante la actividad, Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) se otorgó a sí mismo el rol de Administrador Global y añadió credenciales a una herramienta de gestión de MSP y a la propia aplicación de Huntress.

Microsoft también observó actividad de persistencia https://x.com/msftsecintel/status/2111358888125878426?s=12&t=tDVP3ULf1Ou5szxCQAKqjA a través de una puerta trasera tras una autenticación exitosa del principal de servicio, seguida de un “reconocimiento de la API de Microsoft Graph e intentos de añadir credenciales adicionales”.

Cabe señalar que las tres empresas de ciberseguridad rastrearon la actividad maliciosa hasta la misma dirección IP 144.172.64[.]128.

Microsoft Threat Intelligence caracterizó el incidente como un ataque activo a la cadena de suministro, evaluando que el atacante probablemente abusó de los permisos existentes, incluido Directory.ReadWrite.All.

indicators and tenant checks

Huntress identificó el ID de aplicación legítimo de Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae utilizado en los ataques. Su investigación también vinculó la dirección IP del atacante con intentos de inicio de sesión programados el 13 y 14 de octubre, con el agente de usuario curl/7.88.1.

Basándose en la evidencia actual, hay al menos tres agentes de usuario vinculados a la actividad maliciosa del servicio de Cloud Backup: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2.

ConnectWise recomienda que los administradores revisen los inicios de sesión del principal de servicio en Entra, filtren por el ID de aplicación de Cloud Backup y examinen las direcciones de origen inesperadas.

Microsoft también recomienda revisar los cambios de credenciales de aplicaciones, las concesiones de OAuth y la actividad de Graph relacionada.

Huntress aconseja a los administradores deshabilitar las aplicaciones implicadas de ConnectWise, así como comprobar las credenciales de las aplicaciones para detectar adiciones no autorizadas y revisar otras integraciones de Cloud Management.

La empresa señala que los tenants más antiguos pueden listar las aplicaciones de Cloud Management bajo el nombre ‘SkyKick Cloud Manager’.

La empresa proporciona una lista extendida de IDs de aplicaciones para que los administradores los busquen:

* ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
* ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
* ConnectWise Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
* ConnectWise Cloud Management - Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
* ConnectWise Cloud Management - MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
* ConnectWise Cloud Management - Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
* ConnectWise Cloud Management - SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)

El cierre del proveedor no elimina las credenciales ya plantadas en los tenants de los clientes. Huntress dice que los administradores deben revisar los secretos y certificados en todas las aplicaciones para detectar adiciones no autorizadas desde el 13 de octubre y eliminar esas entradas.

Todyl advierte que deshabilitar una aplicación detiene la emisión de nuevos tokens, pero los tokens existentes siguen siendo válidos hasta que expiren, y revocar las sesiones de usuario no finaliza el acceso basado en aplicaciones.

ConnectWise anunció la interrupción del servicio de respaldo a las 05:01 UTC del 17 de octubre, pero no proporcionó un cronograma para restablecer la conexión.

La empresa no informó de ninguna evidencia de que las copias de seguridad almacenadas hubieran sido comprometidas y afirmó que los archivos existentes estarían accesibles cuando se restablezcan los servicios.

En el momento de la publicación, el recuento de víctimas y el alcance del robo de datos siguen siendo inciertos, así como el método que utilizó el atacante para obtener las credenciales del proveedor.

Fuente:
BleepingComputer