Una clave robada a un servicio de respaldo abrió 173 entornos de Microsoft 365

Un atacante usó una credencial robada de ConnectWise Cloud Backup, el servicio de copias de seguridad para Microsoft 365 que antes se llamaba SkyKick, para entrar a los entornos de nube de al menos 173 organizaciones, según la empresa de seguridad Huntress, citada por The Hacker News. El acceso no exigió ninguna contraseña de los clientes: el atacante se hizo pasar por la propia aplicación de respaldo, que ya tenía permisos aprobados en cada uno de esos entornos.

ConnectWise, la compañía estadounidense que vende herramientas a los proveedores de servicios informáticos gestionados (los MSP, que administran la tecnología de pequeñas y medianas empresas), confirmó el incidente en su página de estado. El 17 de octubre informó que encontró "acceso no autorizado a identidades de aplicación" en ese entorno y que cortó el acceso de Cloud Backup, lo que interrumpe los respaldos de sus clientes hasta nuevo aviso.

Una llave que abría todas las puertas

Cuando una organización contrata un servicio de respaldo para Microsoft 365, le da a la aplicación del proveedor un permiso permanente para leer su correo, sus archivos y su directorio de usuarios. Esa aplicación se identifica ante Microsoft con una credencial que guarda el proveedor en su propio entorno, no el cliente. Según Huntress, la credencial que se usó era de ese tipo, una "aserción de cliente" (una firma con la que la aplicación demuestra quién es), así que nada que hiciera el cliente podía haberla evitado.

Jonathan Semon, investigador de Huntress, detalló que el 15 de octubre, entre las 6.13 y las 8.34 en tiempo universal coordinado (UTC), el atacante pidió tokensUnidad mínima de texto que procesa un modelo de lenguaje, como una palabra, parte de una palabra o un signo. Se usa para medir cuánto lee y escribe un modelo y para cobrar su uso. de Microsoft Graph, la interfaz que da acceso a los datos de Microsoft 365, desde una sola dirección de un proveedor de alojamiento. Recorrió los entornos en el orden de sus identificadores, con segundos de diferencia entre uno y otro, lo que sugiere un programa automático con una lista armada de antemano.

La cifra fue creciendo. Huntress confirmó 162 entornos afectados hasta las 19 UTC del 16 de octubre y luego elevó el número a 173, según The Hacker News. La empresa aclaró que la credencial funciona en cualquier organización que haya autorizado la aplicación, por lo que puede haber más víctimas que las confirmadas.

En uno de los entornos, Huntress encontró algo más grave. Otra aplicación de ConnectWise, la de administración de Microsoft Teams, se asignó a sí misma el rol de administrador global, el permiso más alto de Microsoft 365, y en unos cinco minutos agregó claves nuevas a una herramienta de gestión de un MSP y a la propia aplicación de Huntress. Esas claves vencían en 2028, una forma de dejar una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. abierta por años.

En el registro que Huntress revisó en detalle no aparece lectura de correos ni de archivos. La empresa advierte que eso no prueba que no se haya llevado datos, porque las consultas al directorio por Microsoft Graph no dejan rastro en la auditoría. ConnectWise, por su parte, dice que hasta ahora no hay indicios de que se hayan comprometido los respaldos guardados de sus clientes y que el archivo existente seguirá disponible cuando el servicio vuelva. La compañía no explicó cómo le robaron la credencial.

La misma dirección había intentado antes, el 13 y el 14 de octubre, adivinar contraseñas en cuatro estudios de abogados, sin lograr entrar, según Huntress. Nicholas Koken, de la empresa de seguridad Todyl, agregó un dato práctico, citado por The Hacker News: "Revocar las sesiones de los usuarios no termina este acceso". Desactivar la aplicación impide pedir tokens nuevos, pero los ya emitidos siguen valiendo hasta 90 minutos.

Qué conviene revisar

Las organizaciones que usan ConnectWise Cloud Backup, o que lo contrataron a través de su proveedor informático, tienen trabajo concreto. Huntress recomienda desactivar la aplicación en Entra ID, el directorio de usuarios de Microsoft, sin borrarla: borrarla elimina el consentimiento y obliga a autorizarla de nuevo. Lo mismo vale para las demás aplicaciones de ConnectWise y SkyKick, que no deberían reactivarse hasta que la empresa confirme que cambió todas sus credenciales.

También conviene quitar cualquier rol de administrador que esas aplicaciones tengan sin haberlo otorgado a propósito, revisar los secretos y certificados de todas las aplicaciones registradas en busca de algo agregado desde el 13 de octubre, y mirar los inicios de sesión de las aplicaciones, no solo los de las personas. Desactivar la aplicación pausa los respaldos automáticos, pero no borra los que ConnectWise ya guardó.

Detalle técnico

La aplicación de ConnectWise Cloud Backup tiene el identificador 506e08f9-6e9a-4da4-942b-a099a03644ae y la de administración de Teams, 24205314-2b89-4e07-a2a4-579e898a5640. La dirección del atacante es 144.172.64.128 (sistema autónomo AS14956, RouterHosting). Los agentes de usuario observados fueron kiota-dotnet, Python-urllib/3.12, python-requests/2.31 y curl/7.88.1.