Brecha no ConnectWise Cloud Backup compromete mais de 160 tenants do Microsoft 365

A ConnectWise suspendeu seu serviço Cloud Backup em 17 de outubro após pesquisadores de segurança confirmarem que atacantes comprometeram as credenciais da plataforma e as usaram para acessar os ambientes Microsoft 365 de seus clientes. O serviço, adquirido da SkyKick, possui amplas permissões OAuth nos tenants gerenciados por design — e esse alcance foi exatamente o que tornou essa brecha tão grave.

A empresa de segurança Huntress identificou pelo menos 162 tenants comprometidos em seu próprio ambiente de monitoramento. Como o ConnectWise Cloud Backup se autentica como uma aplicação e não como um usuário, o MFA nunca foi acionado. O atacante usou uma ferramenta de script para se autenticar diretamente com o segredo da aplicação roubada, obtendo acesso de leitura e escrita a e-mails, arquivos do SharePoint, dados do OneDrive e chats do Teams em cada tenant afetado.

A atividade maliciosa começou pelo menos em 13 de outubro, com tentativas scriptadas originadas do endereço IP 144.172.64[.]128. A Todyl analisou nove intrusões e encontrou apenas atividade de login, sem criação de arquivos, persistência ou movimento lateral nesses tenants. A Microsoft confirmou a atividade e observou que o atacante provavelmente abusou das permissões Directory.ReadWrite.All. Em pelo menos um tenant, um aplicativo Cloud Management foi usado para conceder a si mesmo o papel de Global Administrator.

A ConnectWise colocou o serviço offline às 05:01 UTC em 17 de outubro sem fornecer um cronograma de restauração. A empresa disse que os arquivos de backup existentes não foram afetados e que não há indicação de que os dados de backup dos parceiros foram comprometidos, embora o escopo total do acesso ainda seja desconhecido.

Provedores de serviços gerenciados que usam ConnectWise Cloud Backup ou Cloud Management devem auditar imediatamente os logs de login de service principals no Entra ID, filtrando pelo ID de aplicação 506e08f9-6e9a-4da4-942b-a099a03644ae. Desabilitar o aplicativo impede a emissão de novos tokens, mas não invalida os existentes. Os administradores também devem revisar alterações em credenciais ou grants OAuth desde 13 de outubro.

Este ataque segue o padrão de atores maliciosos que visam plataformas de backup e gerenciamento porque elas carregam por design credenciais persistentes e privilegiadas. Uma ferramenta MSP que pode acessar cada tenant que gerencia é um único ponto de falha catastrófico se suas credenciais vazarem.

Relatado primeiro pelo BleepingComputer, com análise adicional da Huntress e Todyl.