Unos hackers acceden a entornos de Microsoft 365 a través de un ataque a la cadena de suministro de ConnectWise

Con­nect­Wi­se sus­pen­dió el ac­ce­so de sus usua­rios a su ser­vi­cio de res­pal­do en la nube tras de­tec­tar­se ac­ce­sos no au­to­ri­za­dos a iden­ti­da­des de apli­ca­cio­nes, lo que afec­tó a en­tor­nos de Mi­cro­soft 365. Di­ver­sas fuen­tes, in­clu­yen­do ad­mi­nis­tra­do­res y pla­ta­for­mas de ci­ber­se­gu­ri­dad, em­pe­za­ron a re­por­tar esta ac­ti­vi­dad ma­li­cio­sa, la cual fue con­fir­ma­da pos­te­rior­men­te tanto por la com­pa­ñía afec­ta­da como por Mi­cro­soft.

Las in­ves­ti­ga­cio­nes de­ter­mi­na­ron que los ata­can­tes uti­li­za­ron un script au­to­ma­ti­za­do para au­ten­ti­car­se di­rec­ta­men­te en Mi­cro­soft 365 usan­do los se­cre­tos de la apli­ca­ción de res­pal­do, apro­ve­chan­do los per­mi­sos am­plios que ya te­nían con­ce­di­dos y evi­tan­do así los me­ca­nis­mos de au­ten­ti­ca­ción mul­ti­fac­tor. Si bien el al­can­ce total del robo de datos y el nú­me­ro exac­to de afec­ta­dos aún no se han de­ter­mi­na­do con cla­ri­dad, va­rias fir­mas de se­gu­ri­dad ob­ser­va­ron in­ten­tos de re­co­no­ci­mien­to, au­to­asig­na­ción de roles de di­rec­to­rio y, en al­gu­nos casos, la crea­ción de per­sis­ten­cia me­dian­te la adi­ción de cre­den­cia­les.

Ante esta si­tua­ción, Con­nect­Wi­se in­te­rrum­pió el ac­ce­so al ser­vi­cio afec­ta­do, aun­que acla­ró que los res­pal­dos pre­vios no se vie­ron com­pro­me­ti­dos y se­gui­rán ac­ce­si­bles al res­tau­rar­se las fun­cio­nes. Por su parte, las or­ga­ni­za­cio­nes in­vo­lu­cra­das emi­tie­ron di­ver­sas re­co­men­da­cio­nes para los ad­mi­nis­tra­do­res, las cua­les in­clu­yen la re­vi­sión de re­gis­tros en Entra, la ve­ri­fi­ca­ción de cam­bios en cre­den­cia­les de apli­ca­cio­nes y la des­ac­ti­va­ción de las he­rra­mien­tas im­pli­ca­das, ad­vir­tien­do ade­más que los to­kens ya emi­ti­dos pue­den se­guir sien­do vá­li­dos a pesar de apa­gar las apli­ca­cio­nes.