A Huntress publicou nesta semana um alerta de alto impacto: credenciais da ConnectWise Cloud Backup, o serviço de backup em nuvem que substituiu a SkyKick, estao sendo usadas para acessar tenants do Microsoft 365 de forma nao autorizada. A empresa confirmou que a credencial comprometida e um segredo de API que permitia a um ator adversario autenticar-se como os aplicativos ConnectWise e executar operacoes administrativas em ambientes de clientes de MSPs.
O que foi comprometido
A credencial roubada pertence ao aplicativo ConnectWise Cloud Backup. Com ela, o ator adversario conseguiu acessar Exchange Online, Microsoft Teams, SharePoint Online, MS Graph e Partner Center, ou seja, praticamente todos os servicos criticos de um tenant empresarial.
Em um tenant de parceiro da Huntress, um segundo aplicativo da ConnectWise, o Cloud Management para MS Teams, foi usado para promover a si mesmo a Global Administrator e, em seguida, adicionar novas credenciais a outros dois aplicativos no tenant, incluindo um aplicativo single-tenant exclusivo do parceiro.
Como o ataque foi detectado
A Huntress identificou a atividade anomala nos logs de sign-in do Microsoft 365. O trafego do segundo aplicativo de conexao veio de um endereco IPv6 privado, uma faixa que o Microsoft registra para trafego dentro de sua propria rede em nuvem. A Huntress esta investigando quem operou o sistema, mas alerta que o endereco IP sozinho nao identifica o autor.
O que as empresas devem fazer agora
A Huntress recomenda que as organizacoes afetadas tomem as seguintes acoes imediatamente:
- Desabilitem os aplicativos ConnectWise Cloud Backup e ConnectWise Cloud Management para MS Teams no tenant do M365.
- Revise as credenciais de todos os aplicativos do M365, pois desabilitar o app nao remove credenciais que ja foram adicionadas.
- Auditem os logs de sign-in para identificar outros acessos anomalos.
- Considerem temporariamente desabilitar outros Application IDs da ConnectWise Cloud Management ate a investigacao estar completa.
Por que isso e grave
O ConnectWise Cloud Backup e um servico amplamente usado por MSPs para backup e recuperacao de dados de seus clientes. Uma credencial comprometida nesse nivel significa que um ator adversario pode ter acesso a dados de centenas ou milhares de empresas que dependem do servico. A Huntress confirmou que pelo menos 173 tenants foram acessados, e o numero pode ser maior.
A ConnectWise publicou um aviso em 18 de outubro sobre uma interrupcao de servico no Cloud Backup, originalmente publicado em 16 de outubro as 17h47 UTC. A empresa nao detalhou publicamente a extensao do comprometimento, mas a Huntress tem visibilidade direta do impacto.
Para equipes de TI que usam servicos de backup de terceiros em nuvem, o incidente reforca um principio fundamental: a credencial do provedor e uma chave mestra. Se ela for comprometida, o impacto e sistematico. A revisao periodica de credenciais de aplicativos e a segregacao de privilegios nao sao opcionais, sao a unica defesa contra esse tipo de falha em cadeia.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.