Credenciais de app da ConnectWise foram usadas para acessar centenas de locatários Microsoft 365
Ataque com credenciais de fornecedor permitiu herdar permissões de apps; serviços foram suspensos e cada locatário precisa ser auditado individualmente
A ConnectWise detectou atividade suspeita em 15 de outubro e em 17 de outubro desativou sete identidades de aplicativo afetadas, revogou certificados, redefiniu credenciais e suspendeu Cloud Backup, SaaS Security e Cloud Management, além de contratar respondedores de incidentes externos.
Empresas de segurança rastrearam logins automatizados vindos do IP 144.172.64.128 que atingiram cerca de 1.000 locatários Entra (Microsoft Entra) e resultaram em cerca de 300 logins bem-sucedidos; pelo menos 162 locatários foram confirmados como acessados pelo app de backup da ConnectWise comprometido.
Como os invasores usaram credenciais do aplicativo do fornecedor em vez de contas de usuário, a autenticação multifator não se aplicou. Os atacantes puderam solicitar tokens Microsoft Graph que herdam as permissões — de mailbox, SharePoint, Teams ou do diretório — que o app já possuía no locatário.
Os respondedores alertam que desativar o aplicativo do fornecedor não remove persistência criada pelos invasores. Investigações encontraram exemplos em que um app concedeu a si próprio funções de Global Administrator ou adicionou segredos de cliente de longa duração a outros aplicativos do locatário.
A ConnectWise e a Huntress pedem que provedores de serviço gerenciado (MSPs) e clientes preservem logs de sign-in e de auditoria e revisem credenciais de aplicativo, atribuições de função, concessões de consentimento, regras de caixa postal e outras configurações do locatário. A recuperação exige checagens exaustivas locatário por locatário, e restaurações permanecem indisponíveis até que a segurança seja confirmada.