El 21 de octubre Microsoft atribuyó a Storm-0940, un grupo que considera alineado con el Estado chino, un ataque que abusó de aplicaciones de ConnectWise y apuntó a más de 2,250 tenants de Microsoft 365.
Qué ocurrió
Según la publicación de Microsoft y la cobertura de CyberScoop y The Hacker News, el grupo usó ARTEX, un marco de código abierto de pruebas de intrusión con agentes de inteligencia artificial, para automatizar el ataque. Primero hubo una campaña de adivinación de contraseñas entre el 10 y el 14 de octubre contra 327 cuentas de ocho organizaciones, que Microsoft describe como fallida. A partir del 15 de octubre, los agentes lograron acceder a las identidades de aplicaciones en la nube de ConnectWise y las usaron para autenticarse en entornos de clientes.
2,250+
Tenants a los que se intentó acceder
2,900
Intentos de inicio de sesión por minuto, como máximo
327
Cuentas atacadas con contraseñas en ocho organizaciones, sin éxito
Las cifras, bien leídas
Varios titulares hablan de miles de tenants vulnerados, y eso no es lo que dice Microsoft. La cifra de 2,250 corresponde a tenants a los que el grupo intentó iniciar sesión, no a organizaciones comprometidas. Microsoft no ha informado cuántos clientes resultaron afectados y precisa que una autenticación exitosa no implica necesariamente que se hayan accedido o robado datos. Sí identificó varios entornos de clientes con evidencia de actividad posterior.
Lo que se sabe
La atribución a Storm-0940, el uso de ARTEX, el abuso de aplicaciones de ConnectWise ya autorizadas en los tenants y que ConnectWise suspendió temporalmente sus servicios y los restablece por etapas.
Lo que no se ha explicado
Cómo se tomó el control de las identidades de las aplicaciones de ConnectWise, cuántos clientes fueron comprometidos y qué datos, si alguno, se accedieron.
Cómo funciona este tipo de abuso
El detalle más importante para una empresa es el método. Los atacantes no necesitaron las contraseñas de los usuarios: aprovecharon aplicaciones a las que el cliente ya había dado permisos, que se autentican sin que una persona inicie sesión. Una vez dentro, según Microsoft, algunos agentes llegaron a Microsoft Graph y a operaciones del directorio: agregaron credenciales a aplicaciones OAuth para conservar el acceso y modificaron identidades, grupos y roles con privilegios.
Una aplicación de terceros con permisos altos puede dar acceso mucho más allá de su función original.
Qué revisar esta semana
Aplicaciones con permisos
Revisar en Microsoft Entra qué aplicaciones empresariales y consentimientos existen en el tenant, y quitar las que ya no se usan o piden más permisos de los necesarios.
Credenciales nuevas
Buscar credenciales o secretos agregados recientemente a aplicaciones registradas, que es una de las técnicas de persistencia descritas.
Cambios de roles
Revisar cambios recientes en roles administrativos y en grupos con privilegios, y confirmar que cada uno fue autorizado.
Conexiones de ConnectWise
Si su empresa usa ConnectWise Cloud Backup, mantener la conexión desactivada hasta que el proveedor indique lo contrario, como pidió a sus clientes, y conservar los registros para una investigación.
Lo que significa para su organización
La lección de este caso es incómoda: la seguridad de un tenant depende también de los proveedores a los que se les dio acceso. La autenticación multifactor protege a las personas, pero no cubre a una aplicación con credenciales propias. Por eso conviene tratar los permisos de terceros como cualquier otro acceso privilegiado: inventariarlos, justificarlos y revisarlos de forma periódica. En Sistemas JVR ayudamos a las empresas de Venezuela y República Dominicana a ordenar la identidad y los permisos en Microsoft Entra y a proteger sus tenants con Microsoft Defender.
¿Sabe qué aplicaciones de terceros tienen acceso a su tenant de Microsoft 365?
Revisamos los permisos y las aplicaciones conectadas a su tenant y le entregamos un plan para reducir el riesgo.
