Hackers comprometem credencial da ConnectWise e acessam 173 ambientes Microsoft 365

Uma campanha de ataques cibernéticos está explorando uma credencial comprometida do ConnectWise Cloud Backup, anteriormente conhecido como SkyKick, para obter acesso não autorizado a ambientes Microsoft 365 (M365) de clientes. A empresa de segurança Huntress confirmou autenticações indevidas em 173 ambientes de parceiros e clientes, enquanto a Microsoft classificou a atividade como um ataque ativo à cadeia de suprimentos.

O ConnectWise Cloud Backup é um serviço de backup e recuperação em nuvem utilizado por provedores de serviços gerenciados (MSPs) para proteger dados do Microsoft 365 e Google Workspace. Para executar suas funções, a aplicação recebe permissões abrangentes sobre caixas de e-mail, OneDrive, SharePoint, Teams e informações de diretório.

Segundo a Huntress, a credencial comprometida pode ser utilizada em todos os ambientes que concederam autorização à aplicação, ampliando o alcance potencial do incidente.

Em 15 de outubro de 2026, entre 06h13 e 08h34 UTC, os invasores utilizaram o endereço IP 144.172.64[.]128 para obter tokens de acesso ao Microsoft Graph. As autenticações ocorreram em intervalos de poucos segundos, seguindo uma sequência ordenada de identificadores GUID, comportamento compatível com uma operação automatizada baseada em uma lista de alvos.

A investigação, conduzida pelo pesquisador Jonathan Semon, identificou que os hackers utilizavam ferramentas próprias para autenticar na aplicação e herdar suas permissões existentes. Dessa forma, poderiam acessar mensagens, arquivos e informações de diretório disponíveis ao serviço de backup, sem precisar comprometer individualmente as contas dos usuários.

A Huntress também associou o mesmo endereço IP a tentativas de password spraying contra quatro escritórios de advocacia nos dias 13 e 14 de outubro. Entretanto, não foram identificadas autenticações bem-sucedidas de usuários nessas tentativas.

Invasores tentam ampliar privilégios e estabelecer persistência

Em pelo menos um ambiente de parceiro, a Huntress identificou uma segunda aplicação da ConnectWise atribuindo a si mesma privilégios de Administrador Global e adicionando novas credenciais a aplicações confiáveis.

A aplicação ConnectWise Cloud Management para Microsoft Teams, identificada pelo ID 24205314-2b89-4e07-a2a4-579e898a5640, assumiu a função de Global Administrator e executou um script Python, identificado pelo User-Agent Python-urllib/3.12.

O script modificou duas aplicações existentes: uma ferramenta de gerenciamento de MSP e a própria plataforma Huntress Security Platform, adicionando novos segredos de cliente (client secrets) a ambas.

Essa técnica permite ampliar o acesso para além da aplicação inicialmente comprometida. Como ferramentas de gerenciamento de MSPs frequentemente possuem permissões em ambientes de diversos clientes, credenciais adicionais podem abrir caminhos para outros sistemas e organizações.

A Todyl confirmou atividade semelhante envolvendo autenticação não autorizada no Microsoft Graph por meio da aplicação ConnectWise Cloud Backup.

Segundo Nicholas Koken, diretor de Engenharia de Detecção da Todyl, os invasores herdaram permissões de leitura e gravação de e-mails e anexos, acesso completo a caixas postais pelo Exchange Web Services, arquivos do OneDrive e SharePoint, conversas do Teams e funcionalidades de restauração de dados.

A empresa alertou que revogar sessões de usuários não interrompe esse tipo de acesso. Desabilitar a aplicação impede a emissão de novos tokens naquele ambiente, mas os tokens já emitidos podem permanecer válidos por até 90 minutos.

Microsoft confirma ataque ativo à cadeia de suprimentos

A Microsoft confirmou que acompanha uma campanha ativa envolvendo o comprometimento da aplicação OAuth confiável do ConnectWise Cloud Backup, identificada pelo AppId 506e08f9-6e9a-4da4-942b-a099a03644ae.

Segundo a empresa, os hackers provavelmente exploraram permissões previamente concedidas pelos clientes, incluindo privilégios elevados como Directory.ReadWrite.All, que permite modificar informações de diretório.

Após as autenticações registradas em 15 de outubro, a Microsoft observou atividades de reconhecimento por meio da API Microsoft Graph e tentativas de adicionar credenciais aos principais de serviço (service principals) relacionados, com o objetivo de manter acesso direto aos ambientes comprometidos.

A Huntress também identificou um possível padrão de seleção de alvos em ordem alfabética, com destaque para organizações cujos nomes começam pela letra A. Apesar disso, a empresa recomenda investigar todos os ambientes potencialmente expostos.

ConnectWise suspende acesso ao Cloud Backup

Em resposta ao incidente, a ConnectWise confirmou acessos não autorizados a identidades de aplicações em seu ambiente Cloud Backup e suspendeu o acesso da aplicação por tempo indeterminado, enquanto prosseguem as investigações e medidas de correção.

A companhia informou que, até o momento, não encontrou evidências de comprometimento dos dados de backup de seus parceiros. Isso, entretanto, não elimina a possibilidade de acesso indevido a informações disponíveis nos ambientes Microsoft 365 por meio das permissões comprometidas.

A empresa divulgou os identificadores das aplicações associadas à atividade:

Aplicação	Application ID
ConnectWise Cloud Backup	506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise Cloud Management	2399d300-6fca-4e6a-a686-399fefe75b83
Cloud Management – MS Teams	24205314-2b89-4e07-a2a4-579e898a5640
Cloud Management – Exchange Online	b78f6a77-d4e5-46fb-87e5-d1648bd02519
Cloud Management – MS Graph	0de14c77-b9b0-4137-9360-34878a929827
Cloud Management – Partner Center	412dcf96-176d-4b3a-a1b0-4981ad66971e
Cloud Management – SharePoint Online	b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Recomendações para identificar possíveis comprometimentos

A ConnectWise e as empresas de segurança recomendam que administradores verifiquem os registros de autenticação no Microsoft Entra Admin Center.

A investigação deve ser realizada em Monitoring → Sign-in logs → Service principal sign-ins, utilizando o identificador da aplicação ConnectWise Cloud Backup. A aba convencional de autenticações de usuários não apresenta os registros necessários.

Entre as principais medidas recomendadas estão:

• Investigar autenticações originadas do IP 144.172.64[.]128 e de endereços desconhecidos fora dos intervalos esperados da Microsoft e Azure.

• Manter a aplicação desabilitada até a confirmação da substituição de todas as credenciais comprometidas.

• Habilitar os registros de atividade do Microsoft Graph.

• Auditar credenciais adicionadas às aplicações desde 13 de outubro de 2026.

• Verificar alterações de funções administrativas realizadas por aplicações ConnectWise ou SkyKick.

• Revisar concessões OAuth e modificações em principais de serviço.

A Huntress ressalta que determinadas operações, como consultas de diretório pelo Microsoft Graph, podem não produzir registros de auditoria suficientes para comprovar o acesso. Por isso, a ausência de evidências nos logs não deve ser interpretada como garantia de que os dados não foram acessados.

Outro ataque compromete infraestrutura de atualização da AOMEI

Paralelamente, o Google Mandiant, o Google Threat Intelligence Group e o ManageEngine Threat Analysis Lab divulgaram uma campanha distinta contra a infraestrutura de atualização do AOMEI Backupper, software utilizado para backup, clonagem de discos e recuperação de desastres.

A operação, atribuída ao grupo até então não documentado UNC7017, ocorreu entre abril e julho de 2026 e utilizou uma técnica de adulteração temporária da cadeia de suprimentos, denominada ephemeral supply chain tampering.

Os invasores modificavam configurações nos servidores de atualização da AOMEI durante intervalos de apenas cinco a dez minutos, redirecionando o software para baixar arquivos ZIP maliciosos hospedados em servidores controlados pelos atacantes. Em seguida, restauravam as configurações legítimas.

Os pacotes distribuíam o malware CROSSROAD, responsável por validar o ambiente e preparar a instalação de componentes adicionais. O código também estabelecia persistência por tarefas agendadas para executar o SHINYROAD, um backdoor modular que utiliza DLL sideloading para estabelecer comunicação clandestina com servidores de comando e controle.

A campanha teria afetado organizações dos setores de tecnologia, telecomunicações, ensino superior e áreas relacionadas em países como Brasil, Estados Unidos, Austrália, Índia, Portugal, Espanha, Singapura, África do Sul, Paquistão, Suíça e Turquia.

Diferentemente de comprometimentos tradicionais de servidores de atualização, a operação utilizava alterações de curta duração, dificultando a identificação de modificações maliciosas persistentes.