Ein Angriff auf ConnectWise Cloud Backup hat Cyberkriminellen Zugriff auf zahlreiche Microsoft-365-Mandanten verschafft. Der Hersteller hat den Zugang zu dem Dienst, der fr\u00fcher unter SkyKick Cloud Backup lief, inzwischen vollst\u00e4ndig gesperrt. Sicherheitsforscher von Huntress haben in ihrer Umgebung mindestens 162 betroffene Mandanten identifiziert; Microsoft best\u00e4tigte nicht autorisierte Anmeldeversuche bereits am 15. Oktober \u00fcber eine einzelne IP-Adresse.<\/p>\n
ConnectWise Cloud Backup dient Managed Service Providern (MSPs) und IT-Teams zur Sicherung und Wiederherstellung von Kunden- und Mandantendaten in Cloud-Umgebungen wie Microsoft 365 oder Google Workspace. F\u00fcr Microsoft-365-Sicherungen werden Berechtigungen \u00fcber Microsoft Entra ID vergeben. Ein sogenannter Service Principal \u2013 eine Anwendungsidentit\u00e4t \u2013 repr\u00e4sentiert die Software im Mandanten und erh\u00e4lt die Rechte, die der Kunde einr\u00e4umt. Genau diese Anwendungsidentit\u00e4ten sind von den Angreifern kompromittiert worden.<\/p>\n
ConnectWise teilte mit, man habe unbefugte Zugriffe auf Anwendungsidentit\u00e4ten innerhalb der Cloud-Backup-Umgebung festgestellt und den Anwendungszugriff f\u00fcr Partner und Kunden daraufhin unterbrochen. Nach bisherigen Erkenntnissen seien keine Backup-Daten von Partnern betroffen. Das bestehende Cloud-Backup-Archiv sei von der Dienstunterbrechung nicht beeinflusst und werde nach der Wiederherstellung wieder verf\u00fcgbar sein. Eine eigene Untersuchung sowie Aufr\u00e4umarbeiten laufen.<\/p>\n
Den Analysen von Todyl zufolge haben sich die Angreifer mithilfe des geheimen Schl\u00fcssels der Backup-Anwendung direkt bei Microsoft 365 angemeldet und dabei s\u00e4mtliche Berechtigungen genutzt, die Kunden der Anwendung zuvor gew\u00e4hrt hatten. Die Anmeldungen wurden von einem automatisierten Skript ausgef\u00fchrt. Da kein Benutzer-Login erfolgte, griffen Schutzmechanismen wie die Multi-Faktor-Authentifizierung (MFA) nicht.<\/p>\n
Weil die Anwendung in der Regel weitreichende Rechte besitzt, konnten die Angreifer in den kompromittierten Mandanten auf E-Mails und Anh\u00e4nge, OneDrive- und SharePoint-Dateien sowie Teams-Chats lesend und schreibend zugreifen. In den neun von Todyl untersuchten F\u00e4llen blieb es jedoch offenbar bei Anmeldeaktivit\u00e4ten. Die Forscher fanden keine Hinweise darauf, dass der Bedrohungsakteur Konten angelegt, Berechtigungen erweitert, Passw\u00f6rter ge\u00e4ndert oder \u00fcber die Backup-App Persistenz eingerichtet hat.<\/p>\n
Huntress beobachtete auf fast 50 \u00fcberwachten Mandanten, dass Service Principal der ConnectWise-Cloud-Management-Anwendungen (Exchange Online, Microsoft Teams, Microsoft Graph) sich selbst Verzeichnisrollen zuwiesen, \u00fcberwiegend die Rolle Exchange-Administrator. In einem Fall richtete der Angreifer Persistenz ein \u2013 der komplette Vorgang dauerte etwa f\u00fcnf Minuten.<\/p>\n
Dabei erteilte sich die Anwendung \u201eCloud Management \u2013 MS Teams\u201c (App-ID 24205314-2b89-4e07-a2a4-579e898a5640) selbst die Rolle Global Administrator und hinterlegte zus\u00e4tzliche Anmeldedaten in einem MSP-Verwaltungstool sowie in der eigenen Anwendung von Huntress. Auch Microsoft beobachtete Persistenzaktivit\u00e4ten \u00fcber eine Hintert\u00fcr nach erfolgreicher Service-Principal-Authentifizierung, gefolgt von Microsoft-Graph-API-Aufkl\u00e4rung und Versuchen, weitere Anmeldeinformationen hinzuzuf\u00fcgen.<\/p>\n
Alle drei Sicherheitsunternehmen f\u00fchren die Vorf\u00e4lle auf dieselbe IP-Adresse 144.172.64[.]128 zur\u00fcck. Microsoft Threat Intelligence stufte das Geschehen als aktive Supply-Chain-Attacke ein; die Angreifer h\u00e4tten wahrscheinlich vorhandene Berechtigungen einschlie\u00dflich Directory.ReadWrite.All ausgenutzt.<\/p>\n
Huntress hat die legitime Cloud-Backup-Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae als in den Angriffen verwendet ver\u00f6ffentlicht. Zudem sind skriptbasierte Anmeldeversuche bereits auf den 13. und 14. Oktober datiert, der dabei verwendete User Agent lautete curl\/7.88.1. F\u00fcr die aktuell beobachteten Aktivit\u00e4ten wurden folgende User-Agent-Muster dokumentiert: python-urllib\/3.12, python-requests\/2.31 und python-requests\/2.34.2.<\/p>\n
Administratoren sollten in Entra die Service-Principal-Anmeldungen pr\u00fcfen, speziell nach den betreffenden Anwendungs-IDs filtern und auf unerwartete Quelladressen achten. Microsoft empfiehlt dar\u00fcber hinaus, \u00c4nderungen an Anwendungsanmeldeinformationen, OAuth-Genehmigungen und zugeh\u00f6rige Graph-Aktivit\u00e4ten zu kontrollieren.<\/p>\n
F\u00fcr die Identifikation sollten folgende Anwendungsnamen und App-IDs ber\u00fccksichtigt werden:<\/p>\n
In \u00e4lteren Mandanten k\u00f6nnen die Cloud-Management-Apps noch unter \u201eSkyKick Cloud Manager\u201c gef\u00fchrt werden.<\/p>\n
Huntress r\u00e4t, die betroffenen ConnectWise-Anwendungen zu deaktivieren, Anwendungsanmeldeinformationen auf nicht autorisierte Erg\u00e4nzungen zu pr\u00fcfen und auch andere Cloud-Management-Integrationen zu untersuchen. Die Abschaltung durch den Hersteller entfernt jedoch keine bereits in Kundenmandanten hinterlegten Zugangsdaten. Administratoren m\u00fcssen Secrets und Zertifikate aller Anwendungen auf Zugriffe seit dem 13. Oktober pr\u00fcfen und nicht autorisierte Eintr\u00e4ge l\u00f6schen.<\/p>\n
Zus\u00e4tzlich gilt: Das Deaktivieren einer Anwendung verhindert nur die Ausstellung neuer Tokens. Bereits ausgestellte Tokens bleiben bis zum Ablauf g\u00fcltig. Auch das Sperren von Benutzersitzungen beendet keinen anwendungsbasierten Zugang. Betroffene Mandanten sollten daher die Token-Laufzeiten verk\u00fcrzen und laufend \u00fcberwachen, ob weiterhin Zugriffe \u00fcber die betreffenden Anwendungen erfolgen.<\/p>\n
ConnectWise gab die Unterbrechung des Backup-Dienstes am 17. Oktober um 05:01 UTC bekannt, nannte jedoch keinen Zeitrahmen f\u00fcr die Wiederherstellung. Weiterhin unklar sind die Gesamtzahl der Opfer, das tats\u00e4chliche Ausma\u00df eines Datenabflusses sowie die Frage, wie der Angreifer an die Anbieter-Zugangsdaten gelangt ist. Solange diese L\u00fccke nicht vollst\u00e4ndig geschlossen und die Mandanten nicht bereinigt sind, bleibt das Risiko weiterer Angriffe auf Microsoft-365-Umgebungen bestehen.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ein Angriff auf ConnectWise Cloud Backup hat Cyberkriminellen Zugriff auf zahlreiche Microsoft-365-Mandanten verschafft. Der Hersteller hat den Zugang zu dem Dienst, der fr\u00fcher unter SkyKick Cloud Backup lief, inzwischen vollst\u00e4ndig gesperrt. Sicherheitsforscher von Huntress haben in ihrer Umgebung mindestens 162 betroffene Mandanten identifiziert; Microsoft best\u00e4tigte nicht autorisierte Anmeldeversuche bereits am 15. Oktober \u00fcber eine einzelne […]<\/p>\n","protected":false},"author":5,"featured_media":55523,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55522.png","fifu_image_alt":"Hacker kapern Microsoft-365-Mandanten \u00fcber ConnectWise-Cloud-Backup-L\u00fccke","footnotes":""},"categories":[6672],"tags":[],"class_list":["post-55522","post","type-post","status-publish","format-standard","has-post-thumbnail","category-technologie"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55522.png","fifu_image_alt":"Hacker kapern Microsoft-365-Mandanten \u00fcber ConnectWise-Cloud-Backup-L\u00fccke","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55522","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55522"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55522\/revisions"}],"predecessor-version":[{"id":55524,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55522\/revisions\/55524"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55523"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55522"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55522"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55522"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}