ConnectWise suspends Cloud Backup service after supply chain attack
The Record · 19 oct, 21:45
ConnectWise suspendió su servicio Cloud Backup tras descubrirse un ataque a la cadena de suministro que comprometió credenciales de la aplicación. Los atacantes utilizaron las credenciales robadas para acceder a entornos de Microsoft 365 de clientes con permisos elevados, afectando a 162 inquilinos. La empresa desactivó varios servicios, revocó certificados y credenciales, pero no ha proporcionado un calendario para la restauración del servicio.
Incident responders de Huntress identificaron que una credencial de ConnectWise Cloud Backup fue comprometida, permitiendo a los atacantes acceder a entornos de Microsoft 365 con permisos altamente elevados como Directory.ReadWrite.All. Los ataques ocurrieron en olas: el 13 y 14 de octubre contra cuatro bufetes de abogados mediante password spray, y el 15 de octubre se observó un cambio hacia ataques más amplios utilizando aplicaciones de Cloud Management de ConnectWise para asignarse roles administrativos.
Huntress documentó inicios de sesión no autorizados en 162 inquilinos, así como una segunda ola dirigida a sectores de política, seguridad nacional y comercio que fue mayormente infructuosa. Los atacantes aprovecharon que las aplicaciones de backup necesitan acceso amplio a correos, archivos, Teams y datos de directorio. Una vez comprometida la credencial, el atacante podría escalar privilegios convirtiéndose en administrador global, crear nuevas aplicaciones, restablecer contraseñas y modificar políticas de acceso condicional, creando múltiples puntos de persistencia independientes de la credencial original.
ConectWise confirmó haber remediado credenciales e identidades comprometidas y revocó certificados para todas las conexiones de aplicaciones afectadas. Sin embargo, la empresa indicó que no tiene visibilidad en entornos de clientes y partners, por lo que no puede determinar si entornos específicos fueron realmente comprometidos. No se ha reportado compromiso de datos de backup.
Puntos clave
- 162 inquilinos de Microsoft 365 afectados por acceso no autorizado con permisos elevados
- Ataques en olas: password spray (13-14 oct), escalada de privilegios (15 oct), segundo objetivo fallido (políticas, seguridad nacional, comercio)
- ConnectWise revocó todas las credenciales compartidas y certificados; no hay línea temporal para restauración
- En MSP los riesgos se multiplican: foothold en un cliente permite acceso a todos los clientes
- Persistencia múltiple posible: cambio de roles, nuevas aplicaciones, reset de contraseñas y políticas de acceso condicional