ConnectWise suspende la copia de seguridad en la nube tras el ataque a los usuarios de Microsoft 365

La com­pa­ñía Con­nect­Wi­se sus­pen­dió di­ver­sas iden­ti­da­des de apli­ca­cio­nes y el ser­vi­cio de res­pal­do en la nube des­pués de que ata­can­tes des­co­no­ci­dos con­si­guie­ran ac­ce­so no au­to­ri­za­do y com­pro­me­tie­ran in­qui­li­nos de Mi­cro­soft 365. Como me­di­da pre­ven­ti­va, tam­bién se sa­ca­ron de línea de forma tem­po­ral las he­rra­mien­tas de ad­mi­nis­tra­ción en la nube y se­gu­ri­dad SaaS. Aun­que los res­pal­dos pro­gra­ma­dos y las fun­cio­nes de res­tau­ra­ción que­da­ron inac­ce­si­bles, la em­pre­sa ase­gu­ró que los ar­chi­vos exis­ten­tes per­ma­ne­cen ci­fra­dos y res­guar­da­dos sin in­di­cios de vul­ne­ra­ción en di­chos res­pal­dos.

Este tipo de ata­que re­sul­ta ries­go­so por­que per­mi­te a los ac­to­res ma­li­cio­sos uti­li­zar las cre­den­cia­les sus­traí­das de la apli­ca­ción para au­ten­ti­car­se y so­li­ci­tar to­kens de ac­ce­so con los per­mi­sos exis­ten­tes, evi­tan­do la ne­ce­si­dad de robar con­tra­se­ñas de forma in­di­vi­dual. De esta ma­ne­ra, los ata­can­tes pue­den ex­pan­dir sus pri­vi­le­gios agre­gan­do la apli­ca­ción a roles de ad­mi­nis­tra­ción glo­bal o crean­do nue­vas cre­den­cia­les para ase­gu­rar la per­sis­ten­cia en el en­torno del clien­te. Por su parte, la firma Hun­tress de­tec­tó una se­gun­da olea­da de in­ten­tos di­ri­gi­dos a un grupo re­du­ci­do de in­qui­li­nos per­te­ne­cien­tes a sec­to­res es­pe­cí­fi­cos, ade­más de iden­ti­fi­car nu­me­ro­sos re­gis­tros de ac­ti­vi­dad de ini­cio de se­sión aso­cia­dos a una di­rec­ción IP sos­pe­cho­sa.

Ante esta si­tua­ción, se acon­se­ja a los so­cios re­vi­sar mi­nu­cio­sa­men­te sus in­qui­li­nos de Mi­cro­soft 365 y los de sus clien­tes ad­mi­nis­tra­dos, ve­ri­fi­car el es­ta­do de las co­ne­xio­nes de las apli­ca­cio­nes afec­ta­das y exa­mi­nar los re­gis­tros de au­di­to­ría e ini­cio de se­sión en busca de ano­ma­lías. Asi­mis­mo, se re­co­mien­da re­vi­sar cre­den­cia­les, roles de di­rec­to­rio y la po­si­ble pre­sen­cia de re­glas de co­rreo no au­to­ri­za­das, mien­tras con­ti­núa la in­ves­ti­ga­ción para de­ter­mi­nar el me­ca­nis­mo exac­to de ex­po­si­ción de las cre­den­cia­les.