Ciberseguridad

Microsoft ha confirmado una campaña de ciberataques contra entornos empresariales de Microsoft 365 vinculada al acceso no autorizado a identidades de aplicaciones de ConnectWise, proveedor de soluciones de copia de seguridad y gestión de servicios en la nube. La actividad maliciosa, detectada a mediados de octubre, ha permitido a los atacantes aprovechar permisos previamente concedidos por las organizaciones para acceder a sus sistemas.

La compañía ha identificado intentos de autenticación no autorizados desde una misma dirección IP, mientras que las investigaciones de Huntress y Todyl han revelado actividad sospechosa en distintos entornos empresariales.

Microsoft Threat Intelligence ha calificado el incidente como un ataque activo a la cadena de suministro, debido a que los ciberdelincuentes han utilizado la relación de confianza entre un proveedor tecnológico y sus clientes para intentar comprometer sus servicios.

Los atacantes aprovecharon los permisos de una aplicación legítima

El incidente afecta a ConnectWise Cloud Backup, una solución utilizada por proveedores de servicios gestionados (MSP) y departamentos informáticos para realizar copias de seguridad de correos electrónicos, documentos y otros datos almacenados en plataformas como Microsoft 365.

Para funcionar, este servicio utiliza identidades de aplicación conocidas como service principals, que permiten acceder a determinados recursos empresariales mediante los permisos concedidos previamente por los administradores.

Según los investigadores de Todyl, los atacantes consiguieron autenticarse directamente en Microsoft 365 utilizando credenciales de la aplicación de copia de seguridad.

Este procedimiento les permitió aprovechar autorizaciones existentes sin necesidad de acceder mediante una cuenta de usuario convencional.

Por este motivo, la autenticación multifactor (MFA) no impidió los accesos, ya que las solicitudes se realizaron mediante identidades de aplicación y no a través de inicios de sesión interactivos.

Los permisos disponibles podían permitir operaciones de lectura y escritura sobre correos electrónicos y archivos adjuntos de Exchange Online, documentos de OneDrive y SharePoint y conversaciones de Microsoft Teams.

No obstante, disponer de estas capacidades no demuestra que toda esa información haya sido consultada o robada.

Detectan intentos de obtener privilegios de administrador

Las investigaciones han identificado distintos niveles de actividad maliciosa.

Todyl analizó intrusiones en nueve entornos de Microsoft 365 y encontró registros de autenticación sospechosa, aunque no observó pruebas de creación de cuentas, modificación de contraseñas o establecimiento de mecanismos de persistencia mediante la aplicación de copia de seguridad.

Por su parte, Huntress detectó actividad en cerca de 50 entornos supervisados en los que varias aplicaciones de ConnectWise Cloud Management se asignaron funciones administrativas, principalmente el rol de administrador de Exchange.

En uno de los casos, los investigadores observaron cómo los atacantes consiguieron establecer persistencia en aproximadamente cinco minutos.

Durante esa operación, una identidad de aplicación obtuvo privilegios de administrador global y añadió credenciales a otras aplicaciones utilizadas para la administración y protección del entorno.

Microsoft también identificó actividad de reconocimiento mediante Microsoft Graph API e intentos de incorporar credenciales adicionales después de autenticaciones satisfactorias.

Las tres compañías relacionaron la actividad con la dirección IP 144.172.64.128.

ConnectWise suspende sus servicios mientras investiga el incidente

Tras identificar accesos no autorizados a identidades de aplicaciones, ConnectWise decidió interrumpir temporalmente el funcionamiento de Cloud Backup y deshabilitar siete identidades vinculadas a sus servicios.

La compañía comunicó la interrupción el 17 de octubre y, en una actualización del día 18, confirmó que el servicio continuaba sin estar disponible.

Como consecuencia, las copias de seguridad programadas no se están ejecutando y los clientes afectados no pueden acceder temporalmente a los archivos de respaldo ni utilizar las funciones de restauración.

ConnectWise también ha suspendido preventivamente SaaS Security y Cloud Management, lo que afecta a determinadas capacidades de supervisión y gestión de licencias.

El proveedor asegura que los archivos de copia de seguridad existentes permanecen cifrados y aislados y que, hasta el momento, no existen indicios de que los datos almacenados en esas copias hayan sido comprometidos.

La empresa ha subrayado que la suspensión preventiva de los servicios no implica que todos sus clientes hayan sufrido una intrusión.