El 15 de octubre, una credencial de ConnectWise Cloud Backup, antes SkyKick, empezó a utilizarse contra tenants de Microsoft 365. Huntress confirmó inicialmente 162 tenants con inicios de sesión no autorizados y después observó actividad de la misma infraestructura en casi 1.000 tenants de Entra, con más de 300 inicios de sesión exitosos. RedEye Security publicó posteriormente una cifra de 173 tenants con inicios de sesión no autorizados. Estas cifras describen actividad de autenticación, no una lista de organizaciones con datos extraídos.
El acceso de la aplicación no se obtuvo mediante phishing de una cuenta humana, sino mediante el abuso de una identidad de servicio con permisos concedidos por muchos clientes. ConnectWise mantiene Cloud Backup, SaaS Security y Cloud Management suspendidos. Dice no tener indicios de que sus archivos de copia hayan sido comprometidos, pero no puede determinar qué ocurrió en cada entorno conectado.
La credencial no era de un usuario
Cloud Backup accede a Microsoft 365 para proteger buzones, OneDrive, SharePoint, Teams y datos de directorio. Cada tenant en el que se instala concede permisos a una identidad de aplicación, cuya credencial vive en el entorno del proveedor, no en el ordenador del cliente.
Huntress observó que la aplicación obtuvo tokens de Microsoft Graph desde una infraestructura externa el 15 de octubre, entre las 06:13 y las 08:34 UTC. El patrón recorrió tenants en un orden que parecía automatizado. El tráfico legítimo de ConnectWise se asociaba normalmente con espacio privado de Azure, pero el origen de una conexión debe tratarse como señal para investigar, no como prueba concluyente de actividad sospechosa.
La autenticación era de aplicación a aplicación. No hubo un usuario que introdujera una contraseña ni un aviso de autenticación multifactor. El atacante heredó los permisos que la aplicación ya tenía en cada tenant con consentimiento.
Una aplicación con permisos multitenant
El alcance dependía del consentimiento y de los permisos concedidos en cada tenant, pero la función de copia puede requerir acceso amplio a correo, archivos de OneDrive y SharePoint, Teams y datos de directorio. Obtener un token válido demuestra una autenticación y la emisión de un token con los permisos consentidos; no demuestra que se leyera, copiara o exfiltrara información.