Unos hackers utilizan unas credenciales de ConnectWise que habían sido robadas para acceder a 173 cuentas de Microsoft 365

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han de­tec­ta­do una cam­pa­ña ac­ti­va en la que ac­to­res ma­li­cio­sos uti­li­zan una cre­den­cial com­pro­me­ti­da de Con­nect­Wi­se Cloud Bac­kup para en­trar sin au­to­ri­za­ción en en­tor­nos Mi­cro­soft 365 de di­ver­sos clien­tes y so­cios. Como esta he­rra­mien­ta de res­pal­do posee per­mi­sos am­plios para cum­plir sus fun­cio­nes, los ata­can­tes lo­gran he­re­dar dicha au­to­ri­dad para vi­sua­li­zar datos de ban­de­jas de en­tra­da, ar­chi­vos, chats y di­rec­to­rios en todos los in­qui­li­nos donde el ser­vi­cio se en­cuen­tra ins­ta­la­do.

Du­ran­te las in­da­ga­cio­nes se ob­ser­vó que la di­rec­ción IP em­plea­da por los agre­so­res operó me­dian­te un script au­to­ma­ti­za­do para des­pla­zar­se se­cuen­cial­men­te por dis­tin­tos en­tor­nos y so­li­ci­tar to­kens de Mi­cro­soft Graph. Ade­más, en al menos uno de los casos se de­tec­tó que una apli­ca­ción vin­cu­la­da se otor­gó pri­vi­le­gios de ad­mi­nis­tra­dor glo­bal y mo­di­fi­có otros pro­gra­mas de con­fian­za agre­gan­do nue­vas cla­ves se­cre­tas, lo que in­cre­men­ta con­si­de­ra­ble­men­te el ries­go más allá de la cuen­ta del pro­vee­dor ori­gi­nal.

Ante esta si­tua­ción, Con­nect­Wi­se de­ci­dió in­te­rrum­pir el ac­ce­so a la apli­ca­ción de res­pal­do hasta nuevo aviso mien­tras con­ti­núan las in­ves­ti­ga­cio­nes, des­car­tan­do por el mo­men­to que los datos de res­pal­do de los so­cios hayan su­fri­do com­pro­mi­sos. Pa­ra­le­la­men­te, es­pe­cia­lis­tas y em­pre­sas tec­no­ló­gi­cas re­co­mien­dan a los usua­rios re­vi­sar los re­gis­tros de ini­cio de se­sión de en­ti­da­des de ser­vi­cio, bus­car mo­di­fi­ca­cio­nes sos­pe­cho­sas en cre­den­cia­les y des­ha­bi­li­tar tem­po­ral­men­te la apli­ca­ción afec­ta­da.