ConnectWise Cloud Backup (anteriormente SkyKick) ha confirmado el acceso no autorizado a las credenciales de la aplicaci贸n utilizada por su plataforma de copias de seguridad. Seg煤n los informes, los atacantes utilizaron las credenciales comprometidas para acceder a los inquilinos de Microsoft 365 donde estaba instalada la aplicaci贸n. Como resultado, podr铆an haber obtenido acceso a datos y servicios a trav茅s de los permisos existentes de la aplicaci贸n.
驴Cu谩l es la amenaza?
ConnectWise Cloud Backup utiliza una identidad de aplicaci贸n de Microsoft 365 para acceder a los datos de los clientes y realizar copias de seguridad. Seg煤n investigadores de seguridad y ConnectWise, los atacantes comprometieron las credenciales vinculadas a esta aplicaci贸n y las utilizaron para obtener tokens de autenticaci贸n en los entornos de Microsoft 365 de clientes y socios.
Los permisos actuales de la aplicaci贸n podr铆an permitir a los atacantes acceder a los datos del buz贸n, archivos, contenido de Teams e informaci贸n del directorio. Dado que el acceso est谩 vinculado a la aplicaci贸n y no a una cuenta de usuario, cambiar la contrase帽a por s铆 solo podr铆a no eliminar el riesgo.
驴Por qu茅 es digno de menci贸n?
Este incidente es relevante porque involucra una aplicaci贸n de terceros de confianza con acceso previo a entornos de Microsoft 365. Los atacantes podr铆an usar esos permisos para obtener tokens de Microsoft Graph y acceder a datos en los inquilinos afectados.
El monitoreo de seguridad ha detectado inicios de sesi贸n no autorizados vinculados a credenciales comprometidas en m煤ltiples entornos de clientes y socios. Este incidente pone de manifiesto los riesgos asociados con identidades de aplicaciones comprometidas e integraciones en la nube de confianza.
驴Cu谩l es la exposici贸n o riesgo?
Las organizaciones que utilizan ConnectWise Cloud Backup podr铆an sufrir accesos no autorizados a los datos de Microsoft 365, dependiendo de los permisos otorgados a la aplicaci贸n. Los datos expuestos podr铆an incluir mensajes de correo electr贸nico, archivos adjuntos, archivos de OneDrive y SharePoint, datos de Teams e informaci贸n de directorio.
Dado que la vulnerabilidad implica el acceso a trav茅s de la aplicaci贸n, los atacantes podr铆an mantener el acceso incluso despu茅s de que los administradores cambien las contrase帽as de los usuarios. En el peor de los casos, las organizaciones podr铆an sufrir la filtraci贸n de datos, la exposici贸n de comunicaciones confidenciales y otras actividades maliciosas a trav茅s de los permisos delegados de la aplicaci贸n.
驴Cu谩les son las recomendaciones?
1. Deshabilitar el acceso a la aplicaci贸n ConnectWise Cloud Backup
En el Centro de administraci贸n de Microsoft Entra, localice la aplicaci贸n SkyKick / ConnectWise Cloud Backup (ID de aplicaci贸n: 506e08f9-6e9a-4da4-942b-a099a03644ae) y deshabilite el acceso de inicio de sesi贸n de usuario. No elimine la aplicaci贸n.
2. Revisar la actividad de inicio de sesi贸n del principal de servicio
Revisar los registros de inicio de sesi贸n del principal de servicio para el ID de aplicaci贸n afectado e investigar la actividad originada desde las siguientes direcciones IP: "144.172.64.128, 144.172.64[.]99, 144.172.64[.]60", o asociada con agentes de usuario de Python como "Python-urllib/3.12 y python-requests/2.31".
3. Investigue la actividad basada en aplicaciones.
Revise la actividad de las aplicaciones y los servicios de Microsoft 365 en busca de indicios de acceso no autorizado. No se f铆e 煤nicamente de los registros de inicio de sesi贸n interactivos de los usuarios.
4. Revocar el acceso no autorizado
Si se detecta actividad sospechosa, revoque las sesiones y tokens activos y elimine los permisos o consentimientos no autorizados asociados con la aplicaci贸n afectada.
5. Implemente el bloqueo de red cuando sea apropiado.
Considere bloquear las direcciones IP "144.172.64.128, 144.172.64[.]99 y 144.172.64[.]60" como medida de seguridad adicional. Sin embargo, el bloqueo de red por s铆 solo podr铆a no impedir la autenticaci贸n entre nubes.
Servicio XDR
Deja tu comentario