Uma única credencial roubada da ConnectWise abriu a porta para 173 tenants do Microsoft 365

Uma credencial comprometida ligada ao ConnectWise Cloud Backup, antigo SkyKick, foi usada para entrar em 173 tenants do Microsoft 365 de parceiros e clientes em uma única varredura automatizada no dia 15 de outubro. Pesquisadores da Huntress rastrearam a atividade até um endereço IP que percorreu os tenants em ordem de GUID, com segundos de diferença entre cada um, assinatura clássica de um script rodando a partir de uma lista de alvos.

O estrago real nasce do próprio modelo de confiança. Um aplicativo de backup precisa de acesso amplo e permanente a caixas de correio, OneDrive, SharePoint, Teams e dados de diretório em todos os tenants onde é consentido, então quem tem a credencial herda todo esse alcance. Os investigadores também encontraram outro aplicativo de gestão da ConnectWise para Teams se promovendo a Administrador Global e inserindo novos segredos em duas outras aplicações privilegiadas, ampliando silenciosamente o raio de destruição para além da conta do fornecedor.

A ConnectWise desativou o acesso do aplicativo Cloud Backup até segunda ordem e afirma não ter encontrado evidências de que os dados de backup dos parceiros tenham sido comprometidos. Revogar sessões de usuário não corta tokens já emitidos, que seguem válidos por até 90 minutos, então as equipes de segurança precisam revisar os logs de login de entidades de serviço, caçar acessos vindos de fora das faixas esperadas do Azure e rotacionar credenciais rápido. Se a sua operação depende de manter dados na nuvem blindados, proteger o próprio tráfego com uma VPN reforçada é uma primeira camada óbvia.