Pesquisadores de cibersegurança alertam para uma campanha em andamento na qual agentes de ameaça ainda não identificados estão usando uma credencial comprometida do Microsoft 365 (M365), vinculada ao ConnectWise Cloud Backup, anteriormente chamado SkyKick, para obter acesso não autorizado aos ambientes M365 de clientes.
O ConnectWise Cloud Backup é um serviço de backup e recuperação em nuvem desenvolvido para provedores de serviços gerenciados (MSPs), que o utilizam para proteger os dados de seus clientes no Microsoft 365 e no Google Workspace. Para executar suas funções, o aplicativo recebe amplo acesso a caixas de correio, OneDrive, SharePoint, Teams e dados de diretório em todos os ambientes nos quais é instalado.
A Huntress informou ter confirmado logins não autorizados em 173 ambientes de parceiros e clientes, realizados com a credencial comprometida do fornecedor. O incidente afeta todas as organizações que instalaram o aplicativo. A credencial pode ser usada em qualquer ambiente no qual o aplicativo tenha recebido consentimento.
“A credencial do aplicativo está nas mãos de invasores”, afirmou o pesquisador de segurança Jonathan Semon. “Ela foi usada para obter tokens do Microsoft Graph em ambientes de clientes, a partir do endereço IP 144.172.64[.]128, em 15 de outubro, entre 06h13 e 08h34 UTC. O agente de ameaça percorreu os ambientes em ordem crescente de GUID, com poucos segundos de intervalo entre eles, o que indica o uso de um script baseado em uma lista de alvos.”
Nas atividades observadas, o invasor se autenticou no aplicativo usando ferramentas próprias, de forma semelhante ao serviço de backup, e obteve tokens com as permissões já concedidas ao aplicativo. Como ele tem amplo acesso aos dados dos clientes, quem obtiver esses tokens poderá ler as caixas de correio, os arquivos e os dados de diretório que o serviço de backup consegue acessar.
A Huntress também informou que o mesmo endereço IP realizou um ataque de password spraying contra quatro ambientes de escritórios de advocacia nos dias 13 e 14 de outubro de 2026. Segundo a empresa, porém, sua telemetria não registrou logins bem-sucedidos de usuários.
Em pelo menos um ambiente de parceiro, a empresa de cibersegurança encontrou outro aplicativo da ConnectWise que concedeu a si próprio privilégios de Administrador Global e adicionou credenciais a outros aplicativos confiáveis. Isso abriu um caminho para acessar outros aplicativos privilegiados nos ambientes dos clientes e ampliou o risco para além da conta do fornecedor.
“O aplicativo ConnectWise Cloud Management para Microsoft Teams, identificado pelo ID 24205314-2b89-4e07-a2a4-579e898a5640, adicionou a si próprio à função de Administrador Global. Em seguida, executou um script em Python, com o identificador de agente do usuário Python-urllib/3.12, que alterou outros dois aplicativos no ambiente: um aplicativo de gerenciamento de MSP e o aplicativo da própria Huntress, a Huntress Security Platform. O script adicionou novos segredos de cliente a ambos”, explicou Semon.
“Os dois aplicativos que receberam novos segredos são ferramentas confiáveis e privilegiadas. Adicionar uma credencial a um aplicativo de gerenciamento de MSP pode estender o acesso para além de um único ambiente, pois esses aplicativos costumam receber consentimento nos ambientes dos clientes do MSP. Uma credencial adicionada ao aplicativo de uma ferramenta de segurança concede a quem a possui tudo o que essa ferramenta está autorizada a fazer.”
Em uma análise semelhante, a Todyl informou ter detectado uma parte não autorizada se autenticando no Microsoft Graph como o aplicativo ConnectWise Cloud Backup.
“O acesso herdou o consentimento já concedido ao aplicativo, que permite ler e gravar mensagens e anexos, além de oferecer acesso completo às caixas de correio pelo Exchange Web Services. Também permite acessar arquivos do OneDrive e do SharePoint, conversas do Teams e restaurar dados”, afirmou Nicholas Koken, chefe de Engenharia de Detecção da Todyl.
“Revogar as sessões de usuários não encerra esse acesso. Desativar o aplicativo em um ambiente impede a emissão de novos tokens, mas os que já foram emitidos continuam válidos por até 90 minutos. Qualquer ambiente em que o aplicativo permaneça ativo continua exposto até que a ConnectWise troque a credencial.”
Em resposta ao incidente, a ConnectWise suspendeu o acesso ao aplicativo Cloud Backup por tempo indeterminado. A empresa afirmou não ter encontrado evidências de que os dados de backup dos parceiros do Cloud Backup tenham sido comprometidos. Também divulgou os seguintes indicadores de comprometimento:
- No Centro de administração do Microsoft Entra, acesse Monitoramento → Logs de entrada, selecione a aba Logins de entidade de serviço e filtre pelo ID do aplicativo 506e08f9-6e9a-4da4-942b-a099a03644ae.
- A aba padrão, Logins de usuários, não exibe as informações necessárias.
- Na coluna Endereço IP, procure atividades de autenticação originadas de endereços fora dos intervalos esperados da Microsoft e do Azure. O tráfego de saída normal do aplicativo foi identificado como proveniente de um endereço IPv6 privado do Azure.
- Endereço IP suspeito: 144.172.64[.]128.
“O serviço de backup precisa de amplo acesso para funcionar. Um invasor que use suas credenciais herdará esse nível de acesso em todos os ambientes nos quais o aplicativo estiver instalado”, explicou a Huntress.
“Dependendo das permissões concedidas em cada ambiente, isso pode incluir caixas de correio, arquivos do OneDrive e do SharePoint, dados do Teams e informações de diretório, muitos deles pertencentes aos clientes das organizações. Parte desse acesso, como a leitura de dados de diretório pelo Microsoft Graph, não deixa registros de auditoria. Por isso, recomendamos agir agora, sem esperar por uma prova de acesso. O impacto potencial depende das permissões disponíveis em cada ambiente.”
A recomendação aos usuários é desativar o aplicativo até que a ConnectWise confirme a troca de todas as credenciais, habilitar os registros de atividade do Microsoft Graph, auditar a inclusão de novas credenciais desde 13 de outubro de 2026 e verificar os registros de auditoria do Entra em busca de aplicativos da ConnectWise ou da SkyKick que tenham se adicionado a uma função de diretório.
O caso ocorre enquanto a Mandiant, o Google Threat Intelligence Group e o ManageEngine Threat Analysis Lab detalham um ataque de curta duração à cadeia de suprimentos da infraestrutura de atualização do AOMEI Backupper, um programa de backup de dados, clonagem de discos e recuperação de desastres. O objetivo era contornar as defesas de segurança tradicionais e distribuir malware como CROSSROAD e SHINYROAD.
“O agente de ameaça realizou adulterações repetidas e breves na configuração dos servidores de origem da AOMEI”, afirmou o Google. “Cada janela de adulteração durou apenas de cinco a dez minutos, antes que os arquivos originais fossem restaurados. Nesse intervalo, o agente alterou o arquivo de configurações de atualização no servidor para redirecionar o programa e fazê-lo baixar um pacote ZIP malicioso de servidores controlados pelos invasores, em vez de receber atualizações legítimas.”
O arquivo ZIP contém o CROSSROAD, um downloader que verifica o ambiente e prepara outros payloads. Ele também foi desenvolvido para manter a persistência por meio de tarefas agendadas e instalar o SHINYROAD, uma estrutura modular de backdoor para operações sigilosas de command and control, usando carregamento lateral de DLLs.
A campanha de comprometimento da cadeia de suprimentos de software ocorreu entre abril e julho de 2026 e foi atribuída a um grupo de ameaças até então não documentado, identificado pelo codinome UNC7017. Segundo os pesquisadores, esse é o primeiro caso conhecido de comprometimento desse tipo em intervalos breves, em vez de uma alteração estática e persistente nos servidores.
A avaliação indica que a campanha afetou organizações de diversos setores, entre eles serviços de TI, telecomunicações e ensino superior. As entidades atingidas estão na Austrália, no Brasil, na Índia, no Paquistão, em Portugal, em Singapura, na África do Sul, na Espanha, na Suíça, na Türkiye e nos Estados Unidos.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...