Ein Angriff auf ConnectWise Cloud Backup hat Cyberkriminellen Zugriff auf zahlreiche Microsoft-365-Mandanten verschafft. Der Hersteller hat den Zugang zu dem Dienst, der früher unter SkyKick Cloud Backup lief, inzwischen vollständig gesperrt. Sicherheitsforscher von Huntress haben in ihrer Umgebung mindestens 162 betroffene Mandanten identifiziert; Microsoft bestätigte nicht autorisierte Anmeldeversuche bereits am 15. Oktober über eine einzelne IP-Adresse.
Microsoft-365-Mandanten: Was hinter dem ConnectWise-Angriff steckt
ConnectWise Cloud Backup dient Managed Service Providern (MSPs) und IT-Teams zur Sicherung und Wiederherstellung von Kunden- und Mandantendaten in Cloud-Umgebungen wie Microsoft 365 oder Google Workspace. Für Microsoft-365-Sicherungen werden Berechtigungen über Microsoft Entra ID vergeben. Ein sogenannter Service Principal – eine Anwendungsidentität – repräsentiert die Software im Mandanten und erhält die Rechte, die der Kunde einräumt. Genau diese Anwendungsidentitäten sind von den Angreifern kompromittiert worden.
ConnectWise teilte mit, man habe unbefugte Zugriffe auf Anwendungsidentitäten innerhalb der Cloud-Backup-Umgebung festgestellt und den Anwendungszugriff für Partner und Kunden daraufhin unterbrochen. Nach bisherigen Erkenntnissen seien keine Backup-Daten von Partnern betroffen. Das bestehende Cloud-Backup-Archiv sei von der Dienstunterbrechung nicht beeinflusst und werde nach der Wiederherstellung wieder verfügbar sein. Eine eigene Untersuchung sowie Aufräumarbeiten laufen.
Wie die Angreifer die Microsoft-365-Mandanten kaperten
Den Analysen von Todyl zufolge haben sich die Angreifer mithilfe des geheimen Schlüssels der Backup-Anwendung direkt bei Microsoft 365 angemeldet und dabei sämtliche Berechtigungen genutzt, die Kunden der Anwendung zuvor gewährt hatten. Die Anmeldungen wurden von einem automatisierten Skript ausgeführt. Da kein Benutzer-Login erfolgte, griffen Schutzmechanismen wie die Multi-Faktor-Authentifizierung (MFA) nicht.
Weil die Anwendung in der Regel weitreichende Rechte besitzt, konnten die Angreifer in den kompromittierten Mandanten auf E-Mails und Anhänge, OneDrive- und SharePoint-Dateien sowie Teams-Chats lesend und schreibend zugreifen. In den neun von Todyl untersuchten Fällen blieb es jedoch offenbar bei Anmeldeaktivitäten. Die Forscher fanden keine Hinweise darauf, dass der Bedrohungsakteur Konten angelegt, Berechtigungen erweitert, Passwörter geändert oder über die Backup-App Persistenz eingerichtet hat.
Erkenntnisse von Huntress, Microsoft und Todyl
Huntress beobachtete auf fast 50 überwachten Mandanten, dass Service Principal der ConnectWise-Cloud-Management-Anwendungen (Exchange Online, Microsoft Teams, Microsoft Graph) sich selbst Verzeichnisrollen zuwiesen, überwiegend die Rolle Exchange-Administrator. In einem Fall richtete der Angreifer Persistenz ein – der komplette Vorgang dauerte etwa fünf Minuten.
Dabei erteilte sich die Anwendung „Cloud Management – MS Teams“ (App-ID 24205314-2b89-4e07-a2a4-579e898a5640) selbst die Rolle Global Administrator und hinterlegte zusätzliche Anmeldedaten in einem MSP-Verwaltungstool sowie in der eigenen Anwendung von Huntress. Auch Microsoft beobachtete Persistenzaktivitäten über eine Hintertür nach erfolgreicher Service-Principal-Authentifizierung, gefolgt von Microsoft-Graph-API-Aufklärung und Versuchen, weitere Anmeldeinformationen hinzuzufügen.
Alle drei Sicherheitsunternehmen führen die Vorfälle auf dieselbe IP-Adresse 144.172.64[.]128 zurück. Microsoft Threat Intelligence stufte das Geschehen als aktive Supply-Chain-Attacke ein; die Angreifer hätten wahrscheinlich vorhandene Berechtigungen einschließlich Directory.ReadWrite.All ausgenutzt.
Indikatoren für Kompromittierung
Huntress hat die legitime Cloud-Backup-Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae als in den Angriffen verwendet veröffentlicht. Zudem sind skriptbasierte Anmeldeversuche bereits auf den 13. und 14. Oktober datiert, der dabei verwendete User Agent lautete curl/7.88.1. Für die aktuell beobachteten Aktivitäten wurden folgende User-Agent-Muster dokumentiert: python-urllib/3.12, python-requests/2.31 und python-requests/2.34.2.
Administratoren sollten in Entra die Service-Principal-Anmeldungen prüfen, speziell nach den betreffenden Anwendungs-IDs filtern und auf unerwartete Quelladressen achten. Microsoft empfiehlt darüber hinaus, Änderungen an Anwendungsanmeldeinformationen, OAuth-Genehmigungen und zugehörige Graph-Aktivitäten zu kontrollieren.
Für die Identifikation sollten folgende Anwendungsnamen und App-IDs berücksichtigt werden:
- ConnectWise Cloud Backup – 506e08f9-6e9a-4da4-942b-a099a03644ae
- ConnectWise Cloud Management – 2399d300-6fca-4e6a-a686-399fefe75b83
- ConnectWise Cloud Management – MS Teams – 24205314-2b89-4e07-a2a4-579e898a5640
- ConnectWise Cloud Management – Exchange Online – b78f6a77-d4e5-46fb-87e5-d1648bd02519
- ConnectWise Cloud Management – MS Graph – 0de14c77-b9b0-4137-9360-34878a929827
- ConnectWise Cloud Management – Partner Center – 412dcf96-176d-4b3a-a1b0-4981ad66971e
- ConnectWise Cloud Management – SharePoint Online – b2b55f5b-7758-4719-8d8f-88ae172e6bdb
In älteren Mandanten können die Cloud-Management-Apps noch unter „SkyKick Cloud Manager“ geführt werden.
Empfohlene Sofortmaßnahmen
Huntress rät, die betroffenen ConnectWise-Anwendungen zu deaktivieren, Anwendungsanmeldeinformationen auf nicht autorisierte Ergänzungen zu prüfen und auch andere Cloud-Management-Integrationen zu untersuchen. Die Abschaltung durch den Hersteller entfernt jedoch keine bereits in Kundenmandanten hinterlegten Zugangsdaten. Administratoren müssen Secrets und Zertifikate aller Anwendungen auf Zugriffe seit dem 13. Oktober prüfen und nicht autorisierte Einträge löschen.
Zusätzlich gilt: Das Deaktivieren einer Anwendung verhindert nur die Ausstellung neuer Tokens. Bereits ausgestellte Tokens bleiben bis zum Ablauf gültig. Auch das Sperren von Benutzersitzungen beendet keinen anwendungsbasierten Zugang. Betroffene Mandanten sollten daher die Token-Laufzeiten verkürzen und laufend überwachen, ob weiterhin Zugriffe über die betreffenden Anwendungen erfolgen.
ConnectWise gab die Unterbrechung des Backup-Dienstes am 17. Oktober um 05:01 UTC bekannt, nannte jedoch keinen Zeitrahmen für die Wiederherstellung. Weiterhin unklar sind die Gesamtzahl der Opfer, das tatsächliche Ausmaß eines Datenabflusses sowie die Frage, wie der Angreifer an die Anbieter-Zugangsdaten gelangt ist. Solange diese Lücke nicht vollständig geschlossen und die Mandanten nicht bereinigt sind, bleibt das Risiko weiterer Angriffe auf Microsoft-365-Umgebungen bestehen.
