El proveedor de gestión de servicios ConnectWise anunció la suspensión inmediata de sus ofertas Cloud Backup, SaaS Security y Cloud Management tras confirmar que atacantes habían comprometido credenciales de su aplicación. Los adversarios lograron acceder a 162 inquilinos de Microsoft 365 mediante la funcionalidad de Cloud Backup y, posteriormente, expandieron su alcance a cerca de 1,000 inquilinos de Entra. La escalada de privilegios se produjo cuando la aplicación Cloud Management se auto‑elevó a rol de Global Administrator, poniendo en riesgo la infraestructura de numerosos MSP y sus clientes.

Qué sabemos

Según la información publicada por SecurityWeek, los atacantes obtuvieron inicialmente credenciales de la aplicación ConnectWise. Con esas credenciales, se conectaron a la capa de Cloud Backup y extrajeron datos de 162 inquilinos de Microsoft 365. La exposición no se limitó a los entornos de M365; la misma cadena de compromiso se extendió a la plataforma de identidad Entra, donde se contabilizaron cerca de 1,000 inquilinos comprometidos. La respuesta de ConnectWise consistió en suspender los tres servicios cloud afectados y lanzar una investigación interna para determinar el alcance total.

El vector de ataque parece haber explotado la confianza implícita entre los componentes de la suite de ConnectWise. La capacidad del módulo Cloud Management para auto‑escalar a Global Administrator indica una falta de controles de separación de privilegios dentro de la arquitectura de la solución. Los MSP que dependen de ConnectWise para la gestión de múltiples clientes ahora enfrentan la posibilidad de que sus entornos de identidad y datos críticos hayan sido expuestos.

Análisis técnico

El escenario descrito muestra varios TTP (tácticas, técnicas y procedimientos) típicos de actores avanzados:

  • Credenciales comprometidas: el punto de partida fue la captura de credenciales de la aplicación ConnectWise, lo que sugiere phishing, credential stuffing o explotación de vulnerabilidades en la cadena de suministro.
  • Movilidad lateral: una vez dentro, los atacantes usaron la funcionalidad de Cloud Backup para enumerar y extraer datos de inquilinos de M365, demostrando conocimiento profundo de la API de Microsoft.
  • Escalada de privilegios: la auto‑elevación del módulo Cloud Management a Global Administrator indica que la aplicación tenía permisos excesivos o que carecía de mecanismos de verificación de cambios de rol.
  • Impacto en la cadena de suministro: al comprometer una plataforma que sirve a múltiples MSP, el atacante obtuvo acceso a una gran cantidad de entornos de clientes sin necesidad de comprometer cada uno de forma individual.

El hecho de que la escalada haya alcanzado el nivel de Global Administrator es crítico, ya que este rol permite crear, modificar y eliminar usuarios, asignar roles y acceder a datos confidenciales en toda la organización. En el contexto de Entra, el control de identidad se ve comprometido, lo que puede derivar en la creación de cuentas de servicio maliciosas, la manipulación de políticas de acceso condicional y la exfiltración de tokens de autenticación.

Qué deben hacer los equipos de seguridad

  • Revisar inmediatamente los privilegios asignados a las aplicaciones de ConnectWise. Revocar cualquier permiso de Global Administrator que no sea estrictamente necesario.
  • Ejecutar una auditoría de credenciales de servicio y API utilizadas por ConnectWise. Rotar todas las claves y contraseñas asociadas.
  • Implementar monitoreo de actividad de administrador en Microsoft Entra y M365. Configurar alertas para cambios inesperados de rol o creación de cuentas de alto privilegio.
  • Aplicar el principio de menor privilegio (PoLP) en los módulos de Cloud Backup, SaaS Security y Cloud Management. Segmentar funciones para que ninguna aplicación pueda auto‑elevarse.
  • Realizar una revisión de los logs de acceso a los inquilinos afectados. Buscar patrones de extracción masiva de datos o conexiones desde IPs no reconocidas.
  • Comunicar a los clientes MSP la suspensión temporal de los servicios y proporcionar guías de mitigación, incluyendo la verificación de configuraciones de MFA y la revisión de permisos de aplicaciones de terceros.
  • Participar en los programas de divulgación de vulnerabilidades de ConnectWise y Microsoft para recibir actualizaciones sobre parches o mitigaciones específicas.
Fuente: SecurityWeek