ConnectWise ha cortado el acceso de sus clientes al servicio Cloud Backup (anteriormente SkyKick Cloud Backup) tras detectar que unos atacantes habían accedido a identidades de aplicación y comprometido inquilinos de Microsoft 365. Las primeras señales de actividad maliciosa aparecieron el viernes, cuando los administradores empezaron a detectar accesos no autorizados a datos de clientes en entornos de Microsoft 365, posiblemente a raíz de una brecha en SkyKick/ConnectWise.
Ese mismo día, la plataforma de ciberseguridad gestionada y detección de amenazas Huntress confirmó las sospechas y afirmó haber identificado al menos 162 inquilinos comprometidos en su entorno. Microsoft también confirmó la actividad maliciosa vinculada al servicio Cloud Backup de ConnectWise y señaló que el 15 de octubre detectó intentos de autenticación no autorizados desde una dirección IP concreta.
Las soluciones de copia de seguridad en la nube de ConnectWise ofrecen servicios de respaldo y recuperación para que los proveedores de servicios gestionados (MSP) y los equipos de TI protejan y restauren datos de clientes, como correos electrónicos y archivos, en entornos cloud como Microsoft 365 y Google Workspace. En el caso de Microsoft 365, el servicio se apoya en permisos concedidos a través de Microsoft Entra ID. Una identidad de aplicación conocida como «service principal» representa el software dentro del inquilino del cliente y le permite acceder a recursos según los permisos otorgados.
Compromiso de inquilinos de Microsoft 365
En un aviso de seguridad, ConnectWise explicó que «recientemente identificó acceso no autorizado a identidades de aplicación dentro del entorno de ConnectWise Cloud Backup» y suspendió el acceso de aplicaciones para sus socios y clientes. «Hasta la fecha no tenemos indicios de que los datos de copia de seguridad de los socios de Cloud Backup se hayan visto comprometidos. El archivo de copia de seguridad en la nube existente no se ha visto afectado por esta interrupción del servicio y será accesible una vez que se restauren los servicios», aseguró la compañía, que ha abierto una investigación y trabaja en tareas de remediación.
Según los informes de Microsoft, Huntress y los administradores, la actividad maliciosa comenzó al menos el 15 de octubre desde una única dirección IP: 144.172.64[.]128. Un usuario de Reddit relató que ese día recibió una notificación del servicio Microsoft Privileged Identity Management (PIM) que alertaba de que un service principal de SkyKick se había asignado a sí mismo el rol de Exchange Administrator, pese a que no utilizaba la aplicación desde hacía años. Algunos de los identificadores reportados para el SkyKick ofensivo coinciden con los proporcionados por Huntress, Microsoft y Todyl, una plataforma de ciberseguridad dirigida principalmente a MSP y profesionales de TI.
Según los investigadores de Todyl, el atacante se autenticó directamente en Microsoft 365 como la aplicación de copia de seguridad utilizando su secreto, obteniendo así los permisos que los clientes ya le habían concedido. Las solicitudes de inicio de sesión fueron ejecutadas por un script automatizado y, al no implicar el inicio de sesión de un usuario, protecciones como la autenticación multifactor (MFA) resultaron ineficaces. «Dado que la aplicación ya poseía amplios permisos previamente concedidos en cada inquilino, esos inicios de sesión otorgaron al atacante la capacidad técnica de leer y escribir correo y adjuntos, archivos de OneDrive y SharePoint, y chats de Teams», explicó Todyl.
En las intrusiones analizadas en nueve inquilinos, los investigadores de Todyl solo identificaron actividad de inicio de sesión y no hallaron pruebas de que el actor de amenazas «creara cuentas, añadiera permisos, cambiara contraseñas ni estableciera persistencia en ningún inquilino a través de la aplicación de copia de seguridad».
Reconocimiento e intentos de persistencia
Sin embargo, Huntress observó en casi 50 inquilinos que monitoriza que los service principals de las aplicaciones Cloud Management de ConnectWise (Exchange Online, Microsoft Teams y Microsoft Graph) se asignaban a sí mismos roles de directorio, en su mayoría Exchange Administrator. En un inquilino, los investigadores de Huntress también vieron que el atacante estableció persistencia, una operación que duró unos cinco minutos. Durante esa actividad, Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) se concedió a sí mismo el rol de Global Administrator y añadió credenciales a una herramienta de gestión de MSP y a la propia aplicación de Huntress.
Microsoft también observó actividad de persistencia mediante una puerta trasera tras una autenticación exitosa del service principal, seguida de «reconocimiento a través de la API de Microsoft Graph e intentos de añadir credenciales adicionales». Cabe señalar que las tres empresas de ciberseguridad vincularon la actividad maliciosa a la misma dirección IP 144.172.64[.]128. Microsoft Threat Intelligence calificó el incidente como un ataque activo a la cadena de suministro y evaluó que el atacante probablemente abusó de permisos existentes, incluido Directory.ReadWrite.All.
Indicadores y comprobaciones en los inquilinos
Huntress identificó el ID legítimo de la aplicación Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae) utilizado en los ataques. Su investigación también vinculó la dirección IP del atacante con intentos de inicio de sesión automatizados el 13 y 14 de octubre, con el user agent curl/7.88.1. Según las pruebas actuales, hay al menos tres user agents relacionados con la actividad maliciosa del servicio Cloud Backup: python-urllib/3.12, python-requests/2.31 y python-requests/2.34.2.
ConnectWise recomienda a los administradores revisar los inicios de sesión de service principals en Entra, filtrar por el ID de la aplicación Cloud Backup y examinar las direcciones de origen inesperadas. Microsoft también aconseja revisar los cambios de credenciales de aplicaciones, las concesiones OAuth y la actividad relacionada con Graph. Huntress recomienda deshabilitar las aplicaciones de ConnectWise implicadas, comprobar si se han añadido credenciales no autorizadas y revisar otras integraciones de Cloud Management. La empresa señala que los inquilinos más antiguos pueden listar las aplicaciones de Cloud Management como «SkyKick Cloud Manager».
La compañía proporciona una lista ampliada de identificadores de aplicaciones que los administradores deben buscar:
- ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
- ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
- ConnectWise Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
- ConnectWise Cloud Management – Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
- ConnectWise Cloud Management – MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
- ConnectWise Cloud Management – Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
- ConnectWise Cloud Management – SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)
El apagón del proveedor no elimina las credenciales ya plantadas en los inquilinos de los clientes. Huntress afirma que los administradores deben revisar los secretos y certificados de todas las aplicaciones en busca de adiciones no autorizadas desde el 13 de octubre y eliminar dichas entradas. Todyl advierte de que deshabilitar una aplicación impide la emisión de nuevos tokens, pero los tokens existentes siguen siendo válidos hasta que caducan, y revocar las sesiones de usuario no pone fin al acceso basado en aplicaciones.
ConnectWise anunció la interrupción del servicio de copia de seguridad a las 05:01 UTC del 17 de octubre, pero no proporcionó un plazo para restablecer la conexión. La empresa no informó de ninguna prueba de que las copias de seguridad almacenadas se hayan visto comprometidas y afirmó que los archivos existentes serán accesibles cuando se restauren los servicios. En el momento de la publicación, siguen sin estar claros el número de víctimas, el alcance del robo de datos y el método que utilizó el atacante para obtener las credenciales del proveedor.
Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Informe Blue 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta