La aplicación ConnectWise Cloud Backup sufre un barrido de tokens entre inquilinos (cross-tenant)

El 15 de octubre de 2026, los investigadores de Sophos X-Ops identificaron una serie de inicios de sesión de entidades de servicio en los que un actor malicioso se autenticó como la aplicación ConnectWise Cloud Backup (antes conocida como SkyKick) y solicitó tokens de Microsoft Graph solo para aplicaciones a los inquilinos de Microsoft 365 de los clientes. La actividad maliciosa de barrido se originó en un único servidor privado virtual (VPS) y se prolongó durante unos 96 minutos. Los investigadores de X-Ops no encontraron pruebas de actividad manual en el teclado y estiman con alta confianza que el actor malicioso ejecutó un script que enumeraba una lista de inquilinos que habían dado su consentimiento a la aplicación.

Los inicios de sesión no requirieron contraseña de usuario ni autenticación multifactorial (MFA), ya que el actor malicioso se autenticó con la propia identidad de la aplicación. Esta actividad concuerda con el uso indebido de unas credenciales de la aplicación, en poder del proveedor, que habían sido comprometidas. No está claro cómo se obtuvo la credencial ni qué hizo el actor malicioso con los tokens obtenidos.

ConnectWise publicó un aviso sobre la interrupción del servicio, así como una guía de investigación técnica y medidas correctivas. El aviso señala que ConnectWise desactivó el acceso a la aplicación Cloud Backup para partners y clientes como medida de protección.

Antecedentes

ConnectWise Cloud Backup es un producto de Microsoft 365 que funciona a través de una aplicación Entra multiinquilino (multitenant). Cuando un cliente activa el producto, da su consentimiento a la aplicación en su inquilino (tenant). Este consentimiento permite que la identidad de la aplicación del proveedor solicite tokens de Microsoft Graph para que dicho inquilino lea los datos destinados a la copia de seguridad. Un actor malicioso que consiga las credenciales de la aplicación puede solicitar los mismos tokens en todos los inquilinos que hayan dado su consentimiento.

Actividad observada

Los investigadores de X-Ops observaron que el actor de amenazas solicitaba un token de Graph (de tipo «solo aplicación») para la aplicación Cloud Backup en cada uno de los inquilinos objetivo. La fase de reconocimiento comenzó a las 07:11 UTC del 15 de octubre, y el último escaneo observado fue a las 08:47 UTC. Todas las solicitudes procedían de 144[.]172[.]64[.]128 y utilizaban los siguientes User-Agents: Python-urllib/3.12 y python-requests/2.31.

El análisis reveló tres características que apuntan a una actividad automatizada:

• Se accedió a los clientes siguiendo estrictamente el orden ascendente de los GUID de los clientes.

• Las solicitudes se espaciaron entre uno y seis minutos.

• El barrido incluyó a clientes sin suscripción activa de copia de seguridad, lo que sugiere que el actor malicioso trabajó a partir de una lista completa de clientes que habían dado su consentimiento a la aplicación, incluidos aquellos que ya no eran clientes activos del servicio de copia de seguridad.

A fecha de esta publicación, no hay pruebas de que la aplicación creara nuevos secretos, aplicaciones, consentimientos o asignaciones de roles en los clientes revisados.

Recomendaciones

Las organizaciones que usen o hayan usado alguna vez los productos ConnectWise Cloud Backup o SkyKick deberían tomar las siguientes medidas:

• Revisa las aplicaciones empresariales de Entra y retira el consentimiento de las aplicaciones que ConnectWise ha desactivado.

• Revisa los registros de inicio de sesión de Entra durante el periodo comprendido entre el 15 y el 17 de octubre, prestando especial atención a los inicios de sesión de entidades de servicio en busca de los indicadores asociados a esta actividad.

• Revisa los registros de auditoría en busca de nuevas credenciales, secretos, registros de aplicaciones, consentimientos y asignaciones de roles realizados por estas aplicaciones desde el 13 de octubre.

• Recupera los registros de actividad de Microsoft Graph de los inquilinos con copias de seguridad activas, si están disponibles, para evaluar cómo se utilizaron los tokens emitidos.

• Sigue las instrucciones de corrección del proveedor, incluidos los pasos para rotar las credenciales.

Contramedidas e indicadores

SophosLabs sigue vigilando el panorama de amenazas en busca de actividad relacionada con este incidente y proporcionará detecciones y protecciones en cuanto estén disponibles.

Los indicadores de la Tabla 1 se pueden usar para detectar actividad relacionada con esta amenaza. Ten en cuenta que las direcciones IP pueden reasignarse.

Tabla 1: indicadores de la amenaza