Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
BleepingComputer · 17 oct, 17:18
Qué hacer: Deshabilita inmediatamente las aplicaciones de ConnectWise Cloud Backup y Cloud Management en tus tenants de Microsoft 365 y revisa los roles asignados y credenciales añadidas desde el 13 de octubre.
ConnectWise sufrió un ataque de cadena de suministro que comprometió identidades de aplicación en su servicio Cloud Backup, permitiendo a atacantes acceder a al menos 162 tenants de Microsoft 365. Los adversarios utilizaron credenciales del servicio para autenticarse directamente sin requerir autenticación multifactor, obteniendo acceso de lectura y escritura a correos, archivos y chats. Microsoft, Huntress y otras plataformas de seguridad confirmaron la actividad maliciosa desde el 15 de octubre desde la dirección IP 144.172.64.128.
El ataque aprovechó permisos ya concedidos al servicio de backup de ConnectWise mediante identidades de aplicación (service principals) en Entra ID. Los atacantes autenticaron scripts directamente como la aplicación backup usando su secreto, eludiendo protecciones como MFA que solo protegen logins de usuario. En análisis de nueve tenants, se encontró solo actividad de reconocimiento; sin embargo, Huntress observó en casi 50 tenants intentos de persistencia, incluyendo asignación de roles de administrador global y adición de credenciales no autorizadas a herramientas de gestión.
Microsoft caracterizó el incidente como un ataque activo de cadena de suministro. Los atacantes utilizaron múltiples agentes de usuario (curl/7.88.1, python-urllib/3.12, python-requests/2.31 y 2.34.2) en intentos de signin con script. ConnectWise deshabilitó el acceso al servicio y recomienda a administradores revisar actividad de service principals, cambios de credenciales OAuth y actividad de Graph API. Huntress aconseja deshabilitar las aplicaciones implícadas de ConnectWise e inspeccionar todas las integraciones de Cloud Management.
Puntos clave
- Al menos 162 tenants de Microsoft 365 comprometidos, confirmados por Huntress
- Atacantes autenticados como service principal usando secreto de aplicación, eludiendo MFA
- Permisos Directory.ReadWrite.All abusados para lectura y escritura de correos, OneDrive, SharePoint y Teams
- IP 144.172.64.128 rastreada desde 13-15 de octubre con actividad de script
- Deshabilita aplicaciones ConnectWise Cloud Backup y Cloud Management; revisa credenciales y roles asignados