Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
The Hacker News · 17 oct, 08:16
Qué hacer: Deshabilita la aplicación ConnectWise Cloud Backup en todos los inquilinos de Microsoft 365 hasta que ConnectWise confirme que todas las credenciales han sido rotadas, habilita los registros de actividad de Microsoft Graph, audita las credenciales añadidas desde el 13 de octubre de 2026 y revisa los registros de Entra para detectar cambios de roles de directorio.
Actores desconocidos comprometieron una credencial de ConnectWise Cloud Backup para acceder sin autorización a 173 inquilinos de Microsoft 365, heredando los amplios permisos de la aplicación para leer correos, archivos y datos de directorio. El atacante utilizó una dirección IP fija para autenticarse entre el 15 de octubre, moviéndose a través de los inquilinos en orden GUID y ejecutando scripts, además de elevar privilegios mediante otra aplicación ConnectWise asignándose rol de administrador global y modificando otras aplicaciones de confianza.
La credencial comprometida pertenece a ConnectWise Cloud Backup, un servicio de copia de seguridad en la nube utilizado por proveedores de servicios gestionados (MSPs) para proteger datos de Microsoft 365 y Google Workspace. La aplicación tiene permisos extensos para acceder a buzones, OneDrive, SharePoint, Teams y datos de directorio en cada inquilino donde está instalada. Huntress documentó intentos de autenticación no autorizados desde la dirección IP 144.172.64.128 entre las 06:13 y 08:34 UTC del 15 de octubre, con el atacante moviéndose a través de inquilinos en orden GUID con intervalos de segundos, indicando automatización mediante script.
En al menos un inquilino asociado, el atacante empleó una segunda aplicación ConnectWise Cloud Management (ID de aplicación 24205314-2b89-4e07-a2a4-579e898a5640) para asignarse el rol de administrador global, ejecutar un script Python y añadir nuevas credenciales a otras dos aplicaciones de confianza: una herramienta de gestión MSP y la plataforma de seguridad Huntress. Este acceso puede extenderse más allá del inquilino comprometido porque las aplicaciones MSP suelen tener consentimiento en múltiples inquilinos de clientes. Aunque la credencial ya estaba en poder del atacante, revocar sesiones de usuario no elimina este acceso; solo deshabilitar la aplicación impide nuevos tokens, pero los ya emitidos permanecen válidos hasta 90 minutos.
Puntos clave
- Atacante accedió desde IP 144.172.64.128 el 15 de octubre de 2026 entre 06:13 y 08:34 UTC
- 173 inquilinos de M365 afectados; ConnectWise cerró el acceso a Cloud Backup hasta rotación de credenciales
- Segunda aplicación (ID 24205314-2b89-4e07-a2a4-579e898a5640) escaló permisos a administrador global y modificó aplicaciones de confianza
- Revisar Sign-in logs en Microsoft Entra, filtrar por Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae y auditar credenciales añadidas desde 13 de octubre