Pesquisadores de cibersegurança alertam para uma campanha ativa em que agentes de ameaça desconhecidos exploram uma credencial comprometida do Microsoft 365 (M365) pertencente ao ConnectWise Cloud Backup (antigo SkyKick) para obter acesso não autorizado aos ambientes M365 dos clientes.
O ConnectWise Cloud Backup é um serviço de backup e recuperação em nuvem criado para provedores de serviços gerenciados (MSPs), que protegem os dados do Microsoft 365 ou do Google Workspace de seus clientes. Para cumprir suas funções, o aplicativo recebe amplo acesso a caixas de e-mail, OneDrive, SharePoint, Teams e dados de diretório em todos os locatários onde está instalado.
A Huntress afirmou ter observado logins não autorizados confirmados em 173 locatários de parceiros e clientes, usando a credencial comprometida do fornecedor. O incidente afeta todas as organizações que têm o aplicativo instalado, e a credencial funciona em todos os locatários nos quais o aplicativo recebeu consentimento.
“A credencial do aplicativo está nas mãos de agentes hostis”, afirmou o pesquisador de segurança Jonathan Semon. “Ela foi usada para obter tokens do Microsoft Graph em locatários de clientes a partir do endereço IP (Internet Protocol) 144.172.64[.]128, em 15 de outubro, entre 06h13 e 08h34 UTC (Tempo Universal Coordenado). O invasor percorreu os locatários em ordem de GUID (identificador globalmente único) classificada, com alguns segundos de intervalo, o que aponta para um script trabalhando a partir de uma lista de alvos.”
Nos casos observados, o invasor se autenticou no aplicativo com suas próprias ferramentas, de forma semelhante ao serviço de backup, e obteve tokens com as permissões já existentes do aplicativo. Como o aplicativo tem amplas permissões para acessar dados de clientes, quem possui esses tokens pode ler caixas de e-mail, arquivos e dados de diretório que o serviço de backup consegue acessar.
A Huntress afirmou que o mesmo endereço IP participou de ataques de password spraying (tentativas de login com senhas comuns em muitas contas) contra locatários de quatro escritórios de advocacia, em 13 e 14 de outubro de 2026. A empresa disse, porém, não ter detectado logins bem-sucedidos de usuários em sua telemetria.
Em pelo menos um locatário parceiro, a empresa de cibersegurança afirmou ter encontrado outro aplicativo da ConnectWise que se atribuiu o papel de Administrador Global e adicionou credenciais a outros aplicativos confiáveis do ambiente, abrindo caminho para outros aplicativos privilegiados nos ambientes dos clientes. Na prática, isso estende o risco para além da conta do fornecedor.
“O aplicativo ConnectWise Cloud Management para Microsoft Teams (ID do aplicativo 24205314-2b89-4e07-a2a4-579e898a5640) se adicionou ao papel de Administrador Global e, em seguida, executou um script Python (User-Agent Python-urllib/3.12) que modificou outros dois aplicativos do locatário: um aplicativo de gestão de MSPs e o próprio aplicativo da Huntress (Huntress Security Platform), adicionando novos segredos de cliente a ambos”, explicou Semon.
“Os dois aplicativos que receberam novos segredos são ferramentas confiáveis e privilegiadas. Adicionar uma credencial a um aplicativo de gestão de MSPs pode estender o acesso para além de um único locatário, porque esses aplicativos costumam receber consentimento nos locatários dos clientes do MSP. Uma credencial em um aplicativo de ferramenta de segurança dá ao detentor tudo o que essa ferramenta está autorizada a fazer.”
A Todyl, em uma análise semelhante, afirmou ter detectado uma parte não autorizada se autenticando no Microsoft Graph como o aplicativo ConnectWise Cloud Backup.
“O acesso herdou o consentimento existente do aplicativo, que permite leitura e gravação em e-mails e anexos (acesso total à caixa de correio por meio do Exchange Web Services, serviço web do Exchange), arquivos do OneDrive e do SharePoint e conversas do Teams, incluindo a capacidade de restaurar dados”, afirmou Nicholas Koken, chefe de Engenharia de Detecção da Todyl.
“Revogar sessões de usuários não encerra esse acesso. Desativar o aplicativo em um locatário impede a emissão de novos tokens ali, mas os tokens já emitidos continuam válidos por até 90 minutos. Qualquer locatário em que o aplicativo ainda esteja ativado continua exposto até que a ConnectWise renove a credencial.”
Em resposta ao incidente, a ConnectWise decidiu fechar o acesso dos aplicativos do Cloud Backup até nova comunicação. A empresa afirmou não ter encontrado indícios de que os dados de backup de parceiros do Cloud Backup tenham sido comprometidos. Ela também divulgou os seguintes passos para procurar indicadores de comprometimento:
- No Centro de Administração do Microsoft Entra, acesse Monitoramento e depois Logs de entrada, selecione a aba de entradas de entidades de serviço e filtre pelo ID do aplicativo 506e08f9-6e9a-4da4-942b-a099a03644ae.
- A aba padrão de entradas de usuários não exibirá as informações necessárias.
- Na coluna de endereço IP, revise a atividade de autenticação originada de endereços fora das faixas esperadas da Microsoft e do Azure. O tráfego de saída normal do aplicativo foi identificado como IPv6 privado do Azure (protocolo de internet versão 6).
- Endereço IP suspeito: 144.172.64[.]128
“O serviço de backup precisa de amplo acesso para fazer seu trabalho, e um invasor que use suas credenciais herdará esse mesmo nível de acesso em todos os locatários onde o aplicativo estiver instalado”, explicou a Huntress.
“Dependendo das permissões do locatário, isso pode incluir caixas de e-mail, arquivos do OneDrive e do SharePoint, dados do Teams e informações de diretório, boa parte delas pertencentes aos seus clientes. Parte desse acesso, como leituras de diretório pelo Microsoft Graph, não deixa nenhum registro de auditoria, e por isso sugerimos agir agora, em vez de esperar por uma prova de acesso. O impacto potencial total depende das permissões em jogo em cada locatário.”
Recomenda-se que os usuários desativem o aplicativo até que a ConnectWise confirme que todas as credenciais foram redefinidas, ativem os logs de atividade do Microsoft Graph, auditem qualquer nova credencial adicionada desde 13 de outubro de 2026 e verifiquem os logs de auditoria do Entra em busca de aplicativos ConnectWise ou SkyKick que tenham se adicionado a uma função de diretório.
O caso surge em meio a um relatório da Mandiant e do Google Threat Intelligence Group, do Google, junto com o ManageEngine Threat Analysis Lab, que detalharam uma “adulteração efêmera da cadeia de suprimentos” da infraestrutura de atualização da AOMEI Backupper, software de backup de dados, clonagem de discos e recuperação de desastres. A técnica serviu para contornar as defesas de segurança tradicionais e distribuir malwares como CROSSROAD e SHINYROAD.
“O agente de ameaça realizou adulterações de configuração curtas e repetidas nos servidores de origem da AOMEI”, afirmou o Google. “Cada janela de adulteração permaneceu ativa por apenas cinco a dez minutos antes de reverter para as versões autênticas. Durante essas breves janelas, o agente modificou o arquivo de configurações de atualização no servidor para redirecionar o software a baixar um pacote ZIP (formato de arquivo compactado) malicioso de servidores controlados pelo invasor, em vez das atualizações legítimas.”
O arquivo ZIP contém o CROSSROAD, um baixador inicial responsável pela validação do ambiente e pela preparação de cargas secundárias. Ele também foi projetado para estabelecer persistência baseada em tarefas agendadas, com o objetivo de implantar o SHINYROAD, uma estrutura modular de porta dos fundos (backdoor) para comando e controle (C2) encoberto, por meio de sideloading de DLL (carregamento lateral de biblioteca de vínculo dinâmico).
A campanha de comprometimento da cadeia de suprimentos, ocorrida entre abril e julho de 2026, é atribuída a um agrupamento de ameaças anteriormente não documentado, identificado pelo codinome UNC7017. A atividade marca a primeira vez que um comprometimento desse tipo se desenrola em intervalos breves, em vez de manter uma modificação persistente e estática nos servidores.
A campanha teria afetado organizações de diversos setores, incluindo serviços de TI, telecomunicações, ensino superior e entidades correlatas na Austrália, no Brasil, na Índia, no Paquistão, em Portugal, em Singapura, na África do Sul, na Espanha, na Suíça, na Turquia e nos EUA.
Um ataque ativo à cadeia de suprimentos
Em uma publicação no X, a Microsoft afirmou estar acompanhando um “ataque ativo à cadeia de suprimentos, no qual um agente de ameaça comprometeu o aplicativo OAuth (protocolo de autorização) confiável do aplicativo de backup ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), antigo SkyKick Backup, para obter tokens de acesso em locatários de clientes”.
A gigante de tecnologia afirmou que o agente provavelmente abusou de permissões concedidas anteriormente pelos clientes ao aplicativo, incluindo permissões altamente privilegiadas, como Directory.ReadWrite.All.
“Em 15 de outubro de 2026, observamos uma autenticação de entidade de serviço ampla e bem-sucedida, originada do endereço IP 144.172.64[.]128”, acrescentou a empresa. “A atividade seguinte incluiu reconhecimento por meio da API (interface de programação de aplicações) do Microsoft Graph e tentativas de adicionar credenciais extras à entidade de serviço relacionada nos locatários-alvo, para manter acesso direto como porta dos fundos.”
A Microsoft recomenda que as equipes de segurança revisem os logins de entidades de serviço originados de endereços IP não reconhecidos, as alterações de credenciais de aplicativos e a atividade de concessão OAuth associada ao AppId OAuth citado.
Em um comunicado separado, a ConnectWise confirmou ter identificado acesso não autorizado a identidades de aplicativos no ambiente do ConnectWise Cloud Backup. A empresa desligou o acesso dos aplicativos do Cloud Backup enquanto suas “ações de investigação e remediação permanecem em andamento”.
A seguir, os IDs de aplicativos que o agente de ameaça abusou como parte da atividade:
- ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
- ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83
- ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640
- ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519
- ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827
- ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e
- ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb
“Quando se trata de exploração inicial e de comportamentos pós-exploração, observamos o que pode ser uma afinidade por alvos em ordem alfabética (nossas vítimas mais relevantes começam com a letra 'A”), afirmou a Huntress. “Embora todos os locatários devam ser examinados, esse padrão vale ser compartilhado para priorização.”
(Esta é uma notícia em desenvolvimento. Volte para mais detalhes.)
