Una actualización de Huntress del 17 de octubre, según informó Rocket Boys, situó la actividad de inicio de sesión en unos 1.000 tenants de Microsoft Entra y registró más de 300 inicios exitosos. Son cifras de autenticación: describen actividad de la aplicación, no un recuento de datos leídos o extraídos.
ConnectWise anunció el 17 de octubre que había cortado el acceso de la aplicación Cloud Backup tras detectar accesos no autorizados a identidades de aplicación. La medida interrumpió el servicio. NeoTeo ya había informado de la interrupción de Cloud Backup.
Qué registran las cifras
Los unos 1.000 tenants y los más de 300 inicios exitosos corresponden a una actualización de Huntress del 17 de octubre que Rocket Boys atribuyó a la empresa de seguridad. Su información sobre la actualización distingue la actividad de inicio de sesión de cualquier recuento de datos afectados.
Huntress había comunicado antes que observó inicios no autorizados en 162 tenants a las 19:00 UTC del 16 de octubre. Ese corte anterior tiene una fecha y un alcance propios; no debe sumarse al posterior como si ambos fueran una única medición. Huntress detalló esa observación.
Una autenticación de la aplicación registra que esta inició sesión. Para conocer la actividad sobre correo, archivos u otros recursos hay que analizar las operaciones realizadas sobre ellos. Los permisos concedidos a la aplicación podían abarcar, según cada tenant, datos de correo, OneDrive, SharePoint, Teams y el directorio.
La aplicación se autenticó sin una cuenta de usuario
Huntress describió el uso de una credencial del proveedor asociada a la identidad de aplicación de ConnectWise Cloud Backup. La aplicación se autenticó con permisos que los administradores ya habían concedido en sus tenants, sin una sesión interactiva de una persona. Por eso, la MFA aplicada al inicio de sesión de un usuario no intervenía en ese flujo de aplicación.
El identificador de la aplicación Cloud Backup es 506e08f9-6e9a-4da4-942b-a099a03644ae. ConnectWise indicó que los administradores podían revisar en Microsoft Entra los registros de inicio de sesión de entidades de servicio y filtrar por ese identificador; la vista de inicios de sesión de usuarios no recoge esa actividad de aplicación. El aviso de ConnectWise incluye la indicación.
El episodio de privilegios ocurrió en otro tenant
Huntress describió un incidente distinto en un tenant: la aplicación ConnectWise Cloud Management – MS Teams se asignó el rol Global Administrator y añadió secretos de cliente a otras dos aplicaciones. No era la aplicación Cloud Backup ni forma parte del recuento general de actividad en tenants. Huntress tampoco vinculó de forma concluyente al operador de ese episodio con quien realizó los inicios posteriores desde una IP pública. El análisis de Huntress separa ambas actividades.
ConnectWise dijo en su aviso que, hasta ese momento, no tenía indicios de que se hubieran comprometido los datos de backup de sus partners almacenados en Cloud Backup. Esa declaración se refería a los archivos alojados por el servicio. La compañía ya había anunciado que desactivó el acceso de la aplicación como medida de protección.
