ConnectWise suspende servicios cloud tras un ciberataque contra tenants de Microsoft 365

ConnectWise suspendió varios servicios cloud tras detectar accesos no autorizados a identidades de aplicación en su entorno Cloud Backup, anteriormente conocido como SkyKick. La compañía desactivó Cloud Backup el 17 de octubre, aproximadamente 12 horas después de iniciar la investigación, y al día siguiente extendió la medida a SaaS Security y Cloud Management.

La intrusión afectó a las copias de seguridad programadas, el acceso a archivos archivados y las restauraciones, además de la monitorización y las alertas de SaaS Security y la gestión de usuarios y licencias de Cloud Management. ConnectWise afirmó que las copias de seguridad de los clientes permanecen cifradas y protegidas, y que no tiene evidencias de accesos no autorizados a ellas. La empresa no ha dado una fecha estimada para restaurar los servicios.

Según Huntress, una credencial de Cloud Backup se utilizó para iniciar sesión en 162 tenants de Microsoft 365 entre el 15 y el 16 de octubre. Para el 17 de octubre, la firma había identificado actividad desde la dirección IP del atacante en casi 1.000 tenants de Entra, con más de 300 inicios de sesión exitosos. La autenticación procedía de los registros de inicio de sesión de Microsoft y correspondía a una credencial de tipo client assertion almacenada en el tenant del proveedor.

Huntress también observó en un tenant que la aplicación ConnectWise Cloud Management para Microsoft Teams se añadió al rol Global Administrator y ejecutó un script de Python para incorporar nuevos secretos de cliente a aplicaciones de gestión de MSP y de Huntress. La firma indicó además que el actor probablemente abusó de las aplicaciones de ConnectWise para Exchange Online, Microsoft Teams y SharePoint Online, todas ellas desactivadas por la compañía.

ConnectWise compartió las direcciones IP utilizadas en la intrusión y publicó indicaciones para revisar los entornos Microsoft 365 de los MSP. La empresa aseguró que ha detenido el ataque, aunque los clientes deben comprobar si se modificaron configuraciones o se establecieron mecanismos de persistencia en sus tenants.

Fuente: SecurityWeek.