ConnectWise suspendió sus servicios de Cloud Backup, SaaS Security y Cloud Management tras detectar un acceso no autorizado a sus identidades de aplicación. La empresa de seguridad Huntress advirtió que se comprometieron credenciales de Microsoft 365, permitiendo el acceso a entornos de clientes. Actualmente, se realizan análisis forenses mientras se insta a los proveedores de servicios gestionados a revisar sus entornos en busca de compromisos.

ConnectWise, proveedor de SaaS para proveedores de servicios gestionados, ha iniciado una "interrupción del servicio" en algunas de sus ofertas tras detectar un acceso no autorizado.

ConnectWise ofrece ERP adaptados a las necesidades de los proveedores de servicios gestionados (MSP), además de herramientas que pueden utilizar para gestionar los entornos de sus clientes. Cloud Backup es una de esas herramientas y hace lo que indica su nombre para los datos almacenados localmente, en la nube o en servicios SaaS como M365 y Google Workspace.

El 16 de octubre, la empresa publicó un aviso [enlace] revelando que el día 15 "identificó un acceso no autorizado a identidades de aplicaciones dentro del entorno de ConnectWise Cloud Backup".

"La interrupción del servicio afecta a los socios y clientes que utilizan Cloud Backup, anteriormente conocido como SkyKick. Debido a que SaaS Security y Cloud Management están integrados con Cloud Backup, esos servicios también han sido suspendidos por exceso de precaución mientras continúan nuestra investigación y remediación", informó la empresa.

La suspensión no significa que los MSP, o sus clientes, deban asumir que sus entornos fueron comprometidos, sino simplemente que ConnectWise no tiene la confianza de que pueda operar sus servicios de forma segura en este momento.

A partir de las 16:00 UTC del 18 de octubre, los servicios siguen no estando disponibles, lo que significa que los usuarios finales no pueden realizar copias de seguridad de los datos, acceder a sus archivos ni restaurar datos.

"Los archivos existentes permanecen cifrados, aislados y preservados, sin evidencia de acceso no autorizado. Nuestros equipos continúan monitoreando los entornos afectados, realizando análisis forenses y búsqueda de amenazas, y llevando a cabo actividades de remediación", escribió en Reddit [enlace] Jason Ferguson, vicepresidente de operaciones de seguridad de la empresa.

ConnectWise no ha ofrecido muchos detalles sobre el incidente, más allá de publicar algunos indicadores de compromiso que cree que están ligados a un puñado de direcciones IP e integraciones con aplicaciones de terceros. También ha desactivado algunas integraciones entre Cloud Backup y Exchange, Teams, SharePoint Online y sus propios productos.

La firma de seguridad Huntress ofreció una visión más cruda y escribió [enlace]: "Una credencial de Microsoft 365 (secreto de API) perteneciente a ConnectWise Cloud Backup ha sido comprometida, y Huntress ha confirmado que se está utilizando para obtener acceso no autorizado a los entornos M365 de los clientes".

"En un tenant de socio de Huntress, una segunda aplicación de ConnectWise, ConnectWise Cloud Management - MS Teams (ID de aplicación 24205314-2b89-4e07-a2a4-579e898a5640), se otorgó a sí misma permisos de Administrador Global y luego añadió nuevas credenciales a otras dos aplicaciones en ese tenant, una de ellas siendo una aplicación de un solo tenant de Huntress exclusiva para este socio".

"Desactivar las aplicaciones de M365, incluidas las aplicaciones abusadas de ConnectWise, no eliminará las credenciales que ya fueron añadidas", advierte la firma. "Debe revisar las credenciales en todas sus aplicaciones M365".

ConnectWise afirma que "no puede discutir la atribución del actor de la amenaza en este momento" porque está centrado en la "investigación, remediación y apoyo a los socios afectados y sus clientes".

Sin embargo, ha pedido a sus clientes que analicen cualquier entorno M365 que gestionen en busca de signos de compromiso.

Aquí es donde las cosas se complican, porque ConnectWise no tiene conocimiento de esas configuraciones, lo cual es correcto ya que es un proveedor de plataforma y sus clientes MSP gestionan las relaciones con los usuarios finales. Por lo tanto, confía en que los MSP hagan lo correcto.

Los MSP no tienen obligación de revelar las plataformas que utilizan para prestar sus servicios. De hecho, para algunas organizaciones, el atractivo de trabajar con un MSP es acceder a servicios empaquetados que nunca necesitan aprender ni preocuparse por ellos.

Las organizaciones de usuarios finales que puedan estar felizmente ajenas a la contribución de ConnectWise a su negocio se encuentran, por lo tanto, en una posición incómoda.

Las empresas que sirven a los MSP son un objetivo frecuente para los atacantes, que ven la oportunidad de comprometer a entidades como ConnectWise como una ruta posible para vulnerar a todos sus socios y a los usuarios finales de esos proveedores de servicios. El ataque de 2021 a Kaseya es el ejemplo más notorio de tal incidente. ConnectWise esperará que no se lleve la corona. 

Fuente:
TheRegister