ConnectWise informó el sábado que ha desactivado siete identidades de aplicación mientras continúa la investigación de un incidente en el que atacantes desconocidos obtuvieron acceso no autorizado a esas identidades y comprometieron inquilinos de Microsoft 365.
Las identidades deshabilitadas son las siguientes:
- ConnectWise Cloud Backup – 506e08f9-6e9a-4da4-942b-a099a03644ae
- ConnectWise Cloud Management – 2399d300-6fca-4e6a-a686-399fefe75b83
- ConnectWise Cloud Management – MS Teams – 24205314-2b89-4e07-a2a4-579e898a5640
- ConnectWise Cloud Management – Exchange Online – b78f6a77-d4e5-46fb-87e5-d1648bd02519
- ConnectWise Cloud Management – MS Graph – 0de14c77-b9b0-4137-9360-34878a929827
- ConnectWise Cloud Management – Partner Center – 412dcf96-176d-4b3a-a1b0-4981ad66971e
- ConnectWise Cloud Management – SharePoint Online – b2b55f5b-7758-4719-8d8f-88ae172e6bdb
El proveedor de software de gestión de TI indicó que adoptó la medida el 17 de octubre de 2026 a las 07:00 UTC y añadió que también suspendió el servicio Cloud Backup mediante la revocación de los certificados usados en las conexiones de aplicaciones afectadas para todos los usuarios.
Deshabilitar las conexiones afectadas impide nuevas autenticaciones a través de ellas; no revierte los cambios realizados previamente dentro de un inquilino.
La compañía precisó que las credenciales compartidas de Cloud Backup afectadas ya no son válidas, aunque los tokens de acceso emitidos con anterioridad podrían seguir siendo utilizables hasta que expiren o se invaliden. Asimismo, advirtió que cualquier credencial, permiso o acceso no autorizado establecido mediante identidades separadas requiere una revisión y remediación adicionales.
ConnectWise también señaló que las copias de seguridad programadas no se están ejecutando y que el acceso a los archivos de respaldo afectados y a las capacidades de restauración sigue no disponible. No obstante, subrayó que los archivos existentes permanecen cifrados, aislados y preservados, y que no hay evidencia de que los atacantes los hayan vulnerado o accedido a ellos.
Como medida de precaución, la empresa indicó que ha puesto temporalmente fuera de línea SaaS Security y Cloud Management mientras completa la revisión del incidente.
Además, reveló que identificó el problema el 14 de octubre de 2026 mediante su «monitorización y diligencia avanzadas de ciberseguridad», lo que la llevó a activar acciones internas y externas de investigación y respuesta ante incidentes.
Desde la implementación de estas mitigaciones, no hemos observado actividad de amenaza exitosa en los entornos que monitorizamos. Este hallazgo no establece el estado de los entornos de clientes posteriores, que, por diseño, no podemos observar directamente.
Por ahora no está claro si una vulnerabilidad de producto contribuyó al compromiso de las identidades de aplicación. El mecanismo exacto de exposición de credenciales es objeto de un análisis en curso, añadió ConnectWise.
El ataque es especialmente peligroso porque permite a un atacante abusar de las credenciales de la aplicación para acceder a los entornos de Microsoft 365 de los clientes sin necesidad de robar individualmente la contraseña de cada uno. Al usar la credencial de aplicación robada para autenticarse como esa aplicación, el atacante puede solicitar tokens de acceso a Microsoft Entra ID basándose en los permisos existentes de la aplicación.
Dependiendo de los permisos asignados a la aplicación, esto podría permitir al atacante acceder potencialmente a otros servicios de Microsoft, como buzones, documentos de SharePoint, mensajes de Teams e información de directorio.
Dado que las aplicaciones de ConnectWise operan con permisos extensos para realizar tareas de respaldo y gestión, el robo de la credencial permite al actor de amenaza autenticarse como la propia aplicación y ampliar su acceso añadiéndola al rol de Administrador Global, agregando secretos de cliente a otras aplicaciones de confianza del inquilino y creando nuevas aplicaciones con permisos concedidos. De este modo, los secretos de cliente ofrecen una vía para autenticarse como esa aplicación y establecer persistencia, proporcionando un medio alternativo para recuperar el acceso al entorno comprometido incluso si la credencial originalmente comprometida se revoca después.
Segunda oleada de intentos dirigidos
Observamos por última vez inicios de sesión maliciosos desde la dirección original el 15 de octubre a las 08:45 UTC, con actividad manual y dirigida que continuó hasta aproximadamente las 14:20 UTC de ese día. ConnectWise ha dicho que el acceso a Cloud Backup está cortado y, si es así, la actividad a través de ese servicio debería haberse detenido. Sin embargo, si el actor de amenaza pudo añadir credenciales a aplicaciones en inquilinos de Microsoft, esas credenciales les permitirían mantener el acceso y actuar como la aplicación.
Huntress afirmó que no ha identificado nueva actividad maliciosa desde el 15 de octubre, pero que no hay evidencia de que la detención fuera resultado de la divulgación pública.
Tenemos alta confianza en que el actor de amenaza también atacó las aplicaciones de ConnectWise Cloud Management para Exchange Online, Microsoft Teams y SharePoint, y hemos confirmado el abuso de la aplicación de Teams en un inquilino. Esas aplicaciones no parecen haber sido deshabilitadas por ConnectWise, por lo que podría provenir de ellas actividad adicional, y estamos investigando activamente.
Hasta el sábado por la noche, Huntress indicó que identificó una «segunda oleada de intentos dirigidos» desde la dirección IP «144.172.64[.]128» el 15 de octubre. Estos esfuerzos, que se centraron en un alcance reducido de 16 inquilinos, no tuvieron éxito. Los inquilinos pertenecen a los sectores de política, seguridad nacional, comercio y minerales críticos.
Para el nuevo conjunto de objetivos, el primer barrido se dirigió a tokens de Graph desde la aplicación SkyKick y ocurrió el 15 de octubre entre las 09:25:04 y las 12:35:50 UTC. El segundo barrido afectó a los mismos inquilinos en la misma fecha, entre las 13:54:39 y las 14:20:24 UTC. Este barrido pareció ser manual y se dirigió a Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra y las API de Office 365 Management.
En total, el proveedor de servicios de seguridad gestionada ha identificado casi 1.000 inquilinos de Entra con actividad de inicio de sesión desde la dirección IP asociada a la actividad no autorizada, de los cuales 300 tuvieron éxito. A pesar del inicio de sesión exitoso, la ausencia de una entidad de servicio en algunos inquilinos habría impedido que el actor de amenaza obtuviera acceso a ellos.
Se recomienda a los socios tomar las siguientes acciones:
- Revisar tanto su propio inquilino de Microsoft 365 como cada inquilino de cliente gestionado, incluidos los entornos con conexiones SkyKick inactivas.
- Verificar el estado de las conexiones de aplicaciones enumeradas y mantener las aplicaciones afectadas deshabilitadas hasta nuevo aviso.
- Revisar los inicios de sesión de todas las identidades desde el 13 de octubre de 2026 hasta el momento actual, específicamente la actividad originada desde la dirección IP «144.172.64[.]128».
- Preservar los registros de inicio de sesión y auditoría disponibles antes de iniciar los pasos de contención.
- Revisar la autenticación de aplicaciones y usuarios, las credenciales de aplicaciones y las confianzas de federación, los roles de directorio, los propietarios, las concesiones de consentimiento y los cambios de política recientes.
- Comprobar si hay reenvío de buzones no autorizado, reglas de bandeja de entrada o transporte, y acceso delegado a buzones.
- Investigar cualquier otra identidad modificada o utilizada durante la actividad sospechosa.
Varios controles de Entra limitan el daño si se roba una credencial de aplicación. Las políticas de gestión de aplicaciones pueden restringir o bloquear los secretos de cliente en los registros de aplicaciones y limitar la vida útil de las credenciales. Limitar quién posee los roles de Administrador de aplicaciones y Administrador de aplicaciones en la nube reduce quién puede añadir credenciales a las aplicaciones.
El Acceso Condicional para identidades de carga de trabajo, que requiere licencias adicionales, puede restringir desde dónde se permite iniciar sesión a una aplicación, y Microsoft Entra ID Protection puede marcar entidades de servicio de riesgo. Ninguna de estas medidas sustituye la revisión de credenciales, pero hacen que un secreto plantado sea más difícil de usar o más fácil de detectar.
Deja una respuesta