ConnectWise suspende Cloud Backup após ataque a Microsoft 365

Segurança Digital

ConnectWise interrompe serviço de backup na nuvem após ataque que comprometeu credenciais do Microsoft 365.

Leia também: Administrador do mercado OLVX é preso na Macedônia

A ConnectWise desativou sete identidades de aplicativos e suspendeu o serviço Cloud Backup depois de identificar que atacantes exploraram credenciais internas para acessar ambientes Microsoft 365 de clientes, em um incidente que atinge especialmente organizações de setores sensíveis e deixa empresas temporariamente sem backups automáticos e restaurações na nuvem.

ConnectWise control sob ataque e suspensão do Cloud Backup

O problema foi identificado em 14 de outubro, quando a empresa de software de gestão de TI detectou uso indevido de identidades de aplicativos ligadas a seus serviços em nuvem, incluindo o ConnectWise control de ambientes Microsoft 365. Em 17 de outubro, às 07h (UTC), a companhia desativou as sete identidades comprometidas e revogou certificados usados nas conexões, o que levou à suspensão global do Cloud Backup.

Segundo a ConnectWise, a medida impede novas conexões via esses caminhos comprometidos, mas não apaga o que já foi feito dentro dos inquilinos Microsoft 365 afetados. “Disabling the affected connections prevents new authentication through those connections; it does not reverse changes previously made inside a tenant”, afirmou a empresa em comunicado.

A companhia informou ainda que as credenciais compartilhadas do Cloud Backup envolvidas no incidente foram invalidadas. “The affected shared Cloud Backup credentials are no longer valid. Previously issued access tokens may remain usable until they expire or are otherwise invalidated”, alertou, reforçando que permissões ou acessos criados por outros meios precisarão ser revisados caso a caso pelos clientes.

Impacto para clientes: backups parados e risco operacional

Com a suspensão do Cloud Backup, os clientes ficam sem a execução de backups agendados e não conseguem acessar arquivos de backup nem iniciar processos de restauração. Na prática, isso aumenta o risco operacional em caso de falhas, ataques adicionais ou perda de dados, já que a principal camada de proteção automatizada está temporariamente indisponível.

A ConnectWise afirma que os arquivos de backup existentes permanecem preservados, criptografados e isolados, e diz não haver evidências de que esses repositórios tenham sido acessados pelos invasores. Mesmo assim, empresas que dependem de restaurações rápidas, em especial em setores de segurança nacional, comércio exterior e cadeias estratégicas, enfrentam agora uma janela de maior exposição até que o serviço seja normalizado.

Como medida de precaução adicional, a companhia também tirou temporariamente do ar seus serviços SaaS Security e Cloud Management, enquanto revisa o alcance do incidente e busca eventuais brechas exploradas pelos atacantes.

Como os invasores agiram nos ambientes Microsoft 365

O ataque não exigiu o roubo de senhas individuais de cada usuário. Os criminosos se aproveitaram de credenciais de aplicativos da ConnectWise para se autenticar diretamente no Microsoft Entra ID (antigo Azure AD), assumindo a identidade desses aplicativos com as permissões já concedidas para funções de backup e gestão.

Com isso, conforme a investigação interna, eles puderam solicitar tokens de acesso a diversos serviços Microsoft usados pelos clientes, como caixas de email, documentos em SharePoint, mensagens no Teams e dados de diretório. Em cenários mais graves, esse tipo de acesso permite ainda elevar privilégios, incluir o aplicativo em funções de administrador global, adicionar segredos (client secrets) a outros aplicativos confiáveis e criar novas aplicações com permissões próprias, mantendo uma “porta traseira” mesmo depois de um credencial comprometido ser revogado.

Esse modelo de ataque, focado em identidades de aplicativos e não em usuários finais, dificulta a detecção imediata, porque o tráfego aparenta ser de ferramentas legítimas de gestão, como as da própria ConnectWise.

Entenda o contexto

A ConnectWise é uma das principais fornecedoras globais de software de gestão de TI, com forte presença em provedores de serviços gerenciados (MSPs) que administram infraestrutura e segurança de centenas de clientes finais. Quando uma credencial de aplicativo desse ecossistema é comprometida, o atacante ganha uma espécie de chave mestra para múltiplos inquilinos Microsoft 365 ao mesmo tempo.

O caso reforça um ponto sensível da segurança em nuvem corporativa: a proteção de identidades de serviço e de aplicativos, que muitas vezes acumulam permissões amplas em nome da praticidade de gestão e automação de tarefas críticas, como backup, monitoramento e orquestração.

O que diz a Huntress sobre o alcance do ataque

A Huntress, empresa de segurança parceira envolvida na resposta ao incidente, detalhou a linha do tempo da atividade maliciosa. “We last observed malicious sign-ins from the original address on October 15 at 08:45 UTC, with targeted, manual activity continuing until about 14:20 UTC that day”, disse Jon Semon, Principal Security Operations Analyst da companhia.

Ele afirmou que, embora o acesso via Cloud Backup tenha sido cortado, isso não significa que todo risco foi eliminado. Caso os invasores tenham conseguido adicionar novas credenciais a aplicações nos inquilinos Microsoft, esses segredos extras podem manter aberta a possibilidade de acesso, independentemente do bloqueio original.

A Huntress também aponta que outros aplicativos de gestão da ConnectWise ligados ao Microsoft 365 seguem em revisão. “We have high confidence the threat actor also targeted the ConnectWise Cloud Management apps for Exchange Online, Microsoft Teams, and SharePoint, and we have confirmed abuse of the Teams app in one tenant”, afirmou Semon. Segundo ele, esses apps não haviam sido desativados inicialmente, o que abre margem para atividade adicional, ainda sob investigação.

Além da primeira fase do ataque, a Huntress identificou uma segunda onda, mais cirúrgica, com tentativas direcionadas a 16 inquilinos em setores de política, segurança nacional, comércio e minerais críticos. Essas ações foram bloqueadas, mas reforçam que o ator por trás da campanha mira ambientes considerados estratégicos.

Investigações seguem e clientes precisam revisar acessos

A ConnectWise afirma que, desde a adoção das medidas de contenção, não vê novas ações bem-sucedidas nos ambientes sob sua monitoração. “Since implementing these mitigations, we have not observed successful threat activity in the environments we monitor”, declarou a empresa, ressaltando que não tem visibilidade direta dos ambientes internos de todos os clientes afetados, o que exige auditoria própria de cada organização.

A origem exata da exposição das credenciais usadas no ataque ainda é tema de análise interna. A empresa não confirmou até agora se alguma vulnerabilidade específica de seus produtos contribuiu para o comprometimento das identidades de aplicativo.

Especialistas envolvidos nas investigações recomendam que clientes revisem minuciosamente credenciais de aplicativos, permissões concedidas, funções administrativas associadas a serviços de nuvem e qualquer segredo ou token criado recentemente. A orientação é revogar o que não for estritamente necessário, aplicar políticas de gestão de credenciais mais rígidas e reforçar mecanismos de detecção de uso anômalo de identidades de serviço.

A normalização do Cloud Backup e dos outros serviços SaaS da ConnectWise ainda depende da conclusão dessa revisão e da implementação de eventuais correções adicionais de segurança, em um caso que já se torna referência sobre como ataques a credenciais de aplicativos podem afetar em cadeia empresas que dependem da nuvem para operar.

Fonte: matéria original