🛡 MALWARE 🛡

Hackers utilizan credenciales comprometidas de ConnectWise para acceder a 173 inquilinos de Microsoft 365

⏰18 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Hackers utilizan credenciales comprometidas de ConnectWise para acceder a 173 inquilinos de Microsoft 365

⟫ 17/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

Investigadores en ciberseguridad están lanzando una alerta sobre una campaña activa en la que actores de amenazas desconocidos están abusando de credenciales comprometidas de Microsoft 365 (M365), pertenecientes a ConnectWise Cloud Backup (anteriormente conocido como SkyKick), para acceder de manera no autorizada a los entornos M365 de sus clientes.

ConnectWise Cloud Backup es un servicio de respaldo y recuperación basado en la nube diseñado para proveedores de servicios gestionados (MSPs), con el objetivo de proteger los datos de Microsoft 365 o Google Workspace de sus clientes. Para llevar a cabo sus funciones, esta aplicación requiere acceso amplio a los buzones de correo, OneDrive, SharePoint, Teams y datos de directorios en cada inquilino donde está instalada.

La empresa de ciberseguridad Huntress ha confirmado la existencia de inicios de sesión no autorizados en 173 inquilinos asociados a sus clientes mediante la utilización de la credencial comprometida del proveedor. Este incidente afecta a todas las organizaciones que tienen instalada la aplicación, ya que la credencial es válida para cada inquilino que haya consentido su uso.

Jonathan Semon, investigador de seguridad, advirtió que "la credencial de la aplicación se encuentra en manos hostiles". Esta credencial fue utilizada para obtener tokens de Microsoft Graph en inquilinos de clientes desde la dirección IP 144.172.64[.]128 el 15 de octubre, entre las 06:13 y las 08:34 UTC. El atacante se movió a través de los inquilinos en un orden de GUID clasificado, con intervalos de solo unos pocos segundos, lo que indica el uso de un script que opera a partir de una lista de objetivos.

Los atacantes observados han sido registrados autenticándose en la aplicación utilizando sus propias herramientas, de manera análoga al servicio de respaldo, logrando obtener tokens con los permisos existentes de la aplicación. Dado que esta aplicación tiene permisos extensos para acceder a los datos de los clientes, un atacante en posesión de estos tokens puede leer buzones de correo, archivos y datos de directorio, tal como lo haría el servicio de respaldo.

Huntress también informó que la misma dirección IP estuvo involucrada en ataques de "password spraying" contra cuatro inquilinos de bufetes de abogados los días 13 y 14 de octubre de 2026, aunque no se detectaron inicios de sesión exitosos en su telemetría.

En al menos uno de los inquilinos asociados, la empresa de ciberseguridad encontró una aplicación de ConnectWise que se autoasignó privilegios de Administrador Global y añadió credenciales a otras aplicaciones de confianza dentro de este entorno, abriendo así un camino hacia otras aplicaciones privilegiadas en los entornos de los clientes. Esto, en efecto, amplía el riesgo más allá de la cuenta del proveedor.

Semon explicó que "la aplicación ConnectWise Cloud Management para Microsoft Teams (ID de aplicación 24205314-2b89-4e07-a2a4-579e898a5640) se añadió a la función de Administrador Global y luego ejecutó un script en Python (User-Agent Python-urllib/3.12) que modificó dos aplicaciones adicionales en el inquilino: una aplicación de gestión de MSP y la propia aplicación de Huntress (Huntress Security Platform), agregando nuevos secretos de cliente a ambas".

"Las dos aplicaciones que recibieron nuevos secretos son herramientas privilegiadas y de confianza. Incorporar una credencial a una aplicación de gestión de MSP puede extender el acceso más allá de un solo inquilino, ya que estas aplicaciones suelen estar consentidas en los inquilinos de los clientes del MSP. Una credencial en la aplicación de una herramienta de seguridad otorga al poseedor los permisos que esa herramienta tiene", añadió Semon.

Todyl, en un análisis similar, informó haber detectado a una parte no autorizada autenticándose en Microsoft Graph como la aplicación ConnectWise Cloud Backup. "El acceso heredó el consentimiento existente de la aplicación, que permite el acceso de lectura/escritura a correos electrónicos y archivos adjuntos (acceso completo al buzón a través de Exchange Web Services), archivos de OneDrive y SharePoint, así como chats de Teams, incluyendo la capacidad de restaurar datos", explicó Nicholas Koken, jefe de Ingeniería de Detección de Todyl.

"Revocar sesiones de usuario no termina con este acceso. Deshabilitar la aplicación en un inquilino evita que se emitan nuevos tokens, aunque los tokens ya emitidos permanecen válidos hasta por 90 minutos. Cualquier inquilino donde la aplicación siga habilitada permanecerá expuesto hasta que ConnectWise rote la credencial".

En respuesta al incidente, ConnectWise ha decidido cerrar el acceso a la aplicación Cloud Backup hasta nuevo aviso. La empresa ha asegurado que no ha encontrado evidencia de que los datos de respaldo de los socios de Cloud Backup hayan sido comprometidos. Además, ha compartido los siguientes pasos para buscar indicadores de compromiso: en el Centro de Administración de Microsoft Entra, navegar a Monitoreo → Registros de inicio de sesión, seleccionar la pestaña de inicios de sesión de servicio principal y filtrar por el ID de aplicación 506e08f9-6e9a-4da4-942b-a099a03644ae. Es importante señalar que la pestaña de inicios de sesión de usuario por defecto no mostrará la información requerida.

En la columna de dirección IP, se debe revisar la actividad de autenticación que provenga de direcciones IP fuera de los rangos esperados de Microsoft/Azure. Se ha identificado que la salida normal de la aplicación es IPv6 privado de Azure. La dirección IP sospechosa es 144.172.64[.]128.

Huntress subrayó que "el servicio de respaldo necesita un acceso amplio para realizar su trabajo, y un atacante que utilice sus credenciales heredará ese nivel de acceso para cada inquilino donde la aplicación esté instalada". Dependiendo de los permisos en el inquilino, esto puede incluir buzones de correo, archivos de OneDrive y SharePoint, datos de Teams e información de directorio, gran parte de la cual pertenece a los clientes. Algunos de esos accesos, como las lecturas de directorio a través de Microsoft Graph, no dejan rastro de auditoría, por lo que sugerimos actuar ahora en lugar de esperar pruebas de acceso. El impacto total depende de los permisos que estén activos en cada inquilino.

Se recomienda a los usuarios deshabilitar la aplicación hasta que ConnectWise confirme que todas las credenciales han sido restablecidas, habilitar los registros de actividad de Microsoft Graph, auditar cualquier nueva credencial añadida desde el 13 de octubre de 2026 y revisar los registros de auditoría de Entra para detectar aplicaciones de ConnectWise o SkyKick que se autoasignen a un rol de directorio.

Este desarrollo se produce en un momento en que Mandiant de Google y el Grupo de Inteligencia de Amenazas de Google, junto con el Laboratorio de Análisis de Amenazas de ManageEngine, han detallado un "manipulación efímera de la cadena de suministro" de la infraestructura de actualizaciones perteneciente a AOMEI Backupper, un software de respaldo de datos, clonación de discos y recuperación ante desastres, con el objetivo de eludir las defensas de seguridad tradicionales y entregar malware como CROSSROAD y SHINYROAD.

Según ha informado Google, el actor de la amenaza llevó a cabo repetidos intentos de manipulación de la configuración de los servidores de origen de AOMEI en cortos intervalos de tiempo. Cada uno de estos intentos de manipulación se mantuvo activo durante solo cinco a diez minutos antes de que los sistemas volvieran a sus versiones auténticas. Durante estos breves períodos, el atacante modificó el archivo de configuración de actualizaciones en el servidor de actualizaciones para redirigir el software hacia la descarga de un paquete ZIP malicioso desde servidores controlados por el atacante, en lugar de recibir actualizaciones legítimas.

El archivo ZIP en cuestión contiene CROSSROAD, un downloader inicial que se encarga de validar el entorno y de preparar cargas útiles posteriores. Además, está diseñado para establecer una persistencia basada en tareas programadas que permite desplegar SHINYROAD, un marco de puerta trasera modular que facilita el control encubierto a través de técnicas de DLL sideloading.

Esta campaña de compromiso de la cadena de suministro de software, que tuvo lugar entre abril y julio de 2026, se ha atribuido a un grupo de amenazas previamente no documentado que ha sido denominado UNC7017. Lo notable de esta actividad es que representa la primera vez que se observa una manipulación de este tipo en intervalos breves, en lugar de mantener una modificación persistente y estática en los servidores.

Se estima que la campaña ha afectado a organizaciones de una amplia variedad de sectores, que incluyen servicios de TI, telecomunicaciones, educación superior y entidades relacionadas en países como Australia, Brasil, India, Pakistán, Portugal, Singapur, Sudáfrica, España, Suiza, Turquía y Estados Unidos.

En una publicación en la plataforma X, Microsoft informó que está monitorizando un "ataque activo a la cadena de suministro en el que un actor de amenazas comprometió la aplicación OAuth de confianza del software de copia de seguridad ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), anteriormente conocido como SkyKick Backup, para obtener tokens de acceso en los inquilinos de los clientes."

La empresa tecnológica indicó que es probable que el actor de la amenaza haya abusado de los permisos previamente otorgados por los clientes a la aplicación, incluyendo permisos altamente privilegiados como Directory.ReadWrite.All.

"El 15 de octubre de 2026, observamos una amplia autenticación exitosa del principal de servicio procedente de la dirección IP 144.172.64[.]128," añadieron. "Las actividades posteriores incluyeron reconocimiento a través de la API de Microsoft Graph y intentos de añadir credenciales adicionales al principal de servicio relacionado en los inquilinos objetivo para mantener un acceso directo como puerta trasera."

Microsoft recomienda a los equipos de seguridad que revisen los inicios de sesión del principal de servicio provenientes de direcciones IP no reconocidas, así como los cambios en las credenciales de la aplicación y la actividad de concesión de OAuth asociada con el mencionado AppId de OAuth.

Por su parte, ConnectWise, en un aviso separado, confirmó que ha identificado accesos no autorizados a identidades de aplicación dentro del entorno de ConnectWise Cloud Backup. Como medida cautelar, ha desactivado el acceso a la aplicación de copia de seguridad mientras continúan sus esfuerzos de investigación y remediación.

Entre los IDs de aplicación que el actor de la amenaza ha abusado en el transcurso de esta actividad se encuentran:

- ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae - ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83 - ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640 - ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519 - ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827 - ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e - ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Huntress, una firma de seguridad, comentó sobre el comportamiento de explotación temprana y post-explotación, señalando que han observado lo que podría ser una afinidad hacia el objetivo alfabético, indicando que sus víctimas más interesantes comienzan con la letra "A". Aunque todos los inquilinos deben ser analizados, este patrón merece ser compartido para priorizar las investigaciones.

Este es un caso en desarrollo, por lo que se recomienda estar atentos a futuras actualizaciones sobre este tema.

◢ MALWARE ◣

Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants

⟫ 17/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Cybersecurity researchers are sounding the alarm related to an active campaign in whichunknown threat actorsareabusinga compromised Microsoft 365 (M365) credential belonging to ConnectWise Cloud Backup (formerly SkyKick) to gain unauthorized access to customers' M365 environments. ConnectWise Cloud Backupis a cloud-based backup and recovery service built for managed service providers (MSPs) to secure their clients' Microsoft 365 or Google Workspace data. To accomplish its tasks, the application is granted broad access to mailboxes, OneDrive, SharePoint, Teams, and directory data in every tenant on which it's installed. Huntress said it has observed confirmed unauthorized sign-ins within 173 partner/customer tenants using the compromised vendor credential. The incident impacts every organization that has the app installed, and the credential works against every tenant the app is consented in. "The app's credential is in hostile hands," security researcher Jonathan Semonsaid. "It was used to obtain Microsoft Graph tokens in customer tenants from 144.172.64[.]128 on October 15, between 06:13 and 08:34 UTC. The actor moved through tenants in sorted GUID order, a few seconds apart, which points to a script working from a target list." In the observed attackers, the adversary has been observed authenticating to the app using their own tooling, in a manner analogous to the backup service, and obtains tokens with the app's existing permissions. Given that the app has extensive permissions to access customer data, an attacker in possession of the tokens can read mailboxes, files, and directory data the backup service can. Huntress said the same IP address engaged in password spraying against four law firm tenants on October 13 and 14, 2026, although it said it detected no successful user sign-ins in its telemetry. In at least one partner tenant, the cybersecurity company said it found a separate ConnectWise app assigning itself Global Administrator privileges and adding credentials to other trusted applications within this environment, thereby opening a pathway to other privileged apps within customer environments. This effectively extends the risk beyond the vendor account. "The ConnectWise Cloud Management app for Microsoft Teams (application ID 24205314-2b89-4e07-a2a4-579e898a5640) added itself to the Global Administrator role, then ran a Python script (User-Agent Python-urllib/3.12) that modified two other applications in the tenant: an MSP management application, and Huntress's own application (Huntress Security Platform), adding new client secrets to both," Semon explained. "The two applications that received new secrets are trusted, privileged tools. Adding a credential to an MSP management application can extend access beyond the one tenant, because those applications are often consented into the MSP's customers' tenants. A credential on a security tool's application gives the holder whatever that tool is permitted to do." Todyl, in a similar analysis, said it detected an unauthorized party authenticating to Microsoft Graph as the ConnectWise Cloud Backup application. "The access inherited the app's existing consent, which permits read/write access to mail and attachments (full mailbox access through Exchange Web Services), OneDrive and SharePoint files, and Teams chats, including the ability to restore data," Nicholas Koken, Todyl's head of Detection Engineering,said. "Revoking user sessions does not end this access. Disabling the app in a tenant stops new tokens from being issued there, though tokens already issued stay valid for up to 90 minutes. Any tenant where the app is still enabled stays exposed until ConnectWise rotates the credential." In response to the incident, ConnectWisehas taken the stepof closing Cloud Backup application access until further notice. The company said it has found no evidence that Cloud Backup partner backup data has been compromised. It has also shared the following steps to look for indicators of compromise - In the Microsoft Entra Admin Center, navigate to Monitoring → Sign-in logs, select the Service principal sign-ins tab, and filter by Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae. The default User sign-ins tab will not display the required information. In the IP address column, review authentication activity originating from IP addresses outside expected Microsoft/Azure ranges. The application's normal egress has been identified as Azure private IPv6. Suspicious IP address: 144.172.64[.]128 "The backup service needs broad access to do its job, and an attacker using its credentials will inherit that level of access for every tenant where the app is installed," Huntress explained. "Depending on the permissions in the tenant, that can include mailboxes, OneDrive and SharePoint files, Teams data, and directory information, much of it belonging to your clients. Some of that access, such as directory reads through Microsoft Graph, leaves no audit trail, which is why we suggest acting now instead of waiting for proof of access. The full potential impact depends on the permissions in play in each tenant." Users are recommended to disable the application until ConnectWise confirms all credentials have been reset, enable Microsoft Graph activity logs, audit for any new credentials added since October 13, 2026, and check Entra audit logs for ConnectWise or SkyKick applications adding themselves to a directory role. The development comes as Google's Mandiant and Google Threat Intelligence Group, along with ManageEngine Threat Analysis Lab,detailedan "ephemeral supply chain tampering" of the update infrastructure belonging to AOMEI Backupper, a data backup, disk cloning, and disaster recovery software, to bypass traditional security defenses and deliver malware such as CROSSROAD and SHINYROAD. "The threat actor conducted repeated, short-burst configuration tampering against AOMEI origin servers," Google said. "Each tampering window remained active for only five to ten minutes before reverting to authentic versions. During the brief tampering windows, the threat actor modified the update settings file on the update server to redirect the software to download a malicious ZIP package from attacker-controlled servers instead of legitimate updates." The ZIP archive contains CROSSROAD, an initial downloader responsible for environment validation and staging follow-on payloads. It's also designed to establish scheduled task-based persistence to deploy SHINYROAD, a modular backdoor framework for covert command-and-control, via DLL sideloading. The software supply chain compromise campaign, which occurred between April and July 2026, has been attributed to a previously undocumented threat cluster codenamed UNC7017. The activity marks the first time that such a compromise has played out in brief intervals instead of maintaining a persistent, static modification on the servers. The campaign is assessed to have impacted organizations spanning a wide range of sectors, including IT services, telecommunications, higher education, and related entities in Australia, Brazil, India, Pakistan, Portugal, Singapore, South Africa, Spain, Switzerland, Türkiye, and the U.S. In a post on X, Microsoftsaidit's tracking an "active supply chain attack in which a threat actor compromised the trusted OAuth App of the backup application ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), formerly SkyKick Backup, to obtain access tokens across customer tenants." The tech giant said the threat actor likely abused permissions previously granted by customers to the application, including highly privileged permissions like Directory.ReadWrite.All. "On October 15, 2026, we observed broad successful service principal authentication originating from the IP address 144.172.64[.]128," it added. "Follow-on activity included Microsoft Graph API reconnaissance and attempts to add additional credentials on the related service principal in target tenants to maintain direct access as a backdoor." Microsoft is recommending that security teams review service principal sign-ins from unrecognized IP addresses, app credential changes, and OAuth grant activity associated with the aforementioned OAuth AppId. ConnectWise, in aseparate advisory, confirmed it has identified unauthorized access to application identities within the ConnectWise Cloud Backup environment. It has shut off Cloud Backup application access while its "investigation and remediation efforts remain ongoing." Listed below are the application IDs the threat actor has abused as part of the activity - ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83 ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640 ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519 ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827 ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb "When it comes to early exploitation and post-exploitation behaviors, we've observed what might be an affinity towards alphabetical targeting (our most interesting victims start with 'A')," Huntress said. "Although all tenants should be scrutinized, this pattern is worth sharing for prioritization." (This is a developing story. Please check back for more details.)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD