AntwortenVeröffentlicht23 Quellen
ConnectWise Cloud Backup: Angreifer nutzten eine vertrauenswürdige App für Microsoft-365-Zugriffe
Huntress meldete unautorisierte Anmeldungen in 173 Microsoft 365 Mandanten über ein kompromittiertes ConnectWise Cloud Backup App Zugangsmittel. Die Angreifer meldeten sich als Anwendung an, nicht als Nutzerkonto.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Huntress meldete unautorisierte Anmeldungen in 173 Microsoft 365 Mandanten über ein kompromittiertes ConnectWise Cloud Backup App Zugangsmittel.
- Die Angreifer meldeten sich als Anwendung an, nicht als Nutzerkonto. Deshalb griff die nutzerbezogene Mehr Faktor Authentifizierung (MFA) in diesem Anmeldeablauf nicht.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Ein kompromittiertes Zugangsmittel für ConnectWise Cloud Backup, früher SkyKick, wurde genutzt, um Microsoft-Graph-Zugriffstoken für verschiedene Microsoft-365-Kundenumgebungen zu erhalten. Huntress meldete unautorisierte Anmeldungen in 173 Partner- und Kundenmandanten. Das bedeutet nicht, dass ein Datendiebstahl in allen 173 Umgebungen bestätigt wurde. Wie groß der Gesamtschaden ist und wie das ursprüngliche Zugangsmittel kompromittiert wurde, ist weiterhin unklar. 1
6
9
Was passiert ist
Microsoft ordnete den Vorfall als Angriff auf die Lieferkette ein: Betroffen war eine kompromittierte, zuvor als vertrauenswürdig eingestufte OAuth-Anwendung. Kunden hatten der mandantenübergreifenden Cloud-Backup-App bereits Berechtigungen erteilt, damit sie in ihren Microsoft-365-Umgebungen arbeiten kann. Nach Einschätzung der Ermittler nutzten die Angreifer diese bestehenden Berechtigungen, um Zugriffstoken für mehrere Mandanten zu erhalten. Dazu gehörten weitreichende Verzeichnisrechte wie Directory.ReadWrite.All. 9
15
Die von Huntress gemeldete Zahl stieg von 162 Mandanten um 19:00 Uhr UTC am 16. Oktober auf 173 in einem späteren Update. Dabei handelt es sich um bestätigte unautorisierte Anmeldungen – nicht um eine abschließende Zahl betroffener Organisationen und auch nicht um einen Beleg dafür, dass in jedem dieser Mandanten Daten ausgelesen wurden. 1
6
9
Zeitlicher Ablauf und IP-Adresse
Huntress beobachtete, wie die Anwendung am 15. Oktober zwischen 06:13 und 08:34 Uhr UTC von der IP-Adresse 144.172.64[.]128 Microsoft-Graph-Token anforderte. Die schnellen Wechsel zwischen Mandanten deuteten auf automatisierte Abläufe hin. Huntress meldete zudem erfolglose Password-Spraying-Versuche gegen vier Kanzlei-Mandanten von derselben IP-Adresse am 13. und 14. Oktober. Diese früheren Versuche belegen jedoch nicht, wie das Zugangsmittel für Cloud Backup kompromittiert wurde. 1
5
20
Warum die MFA für Nutzerkonten nicht griff
Die Anmeldungen erfolgten unter der Identität der Anwendung – auch Dienstprinzipal genannt – und nicht über ein individuelles Nutzerkonto. Die nutzerbezogene MFA war daher nicht Teil dieses Anmeldeablaufs. Das ist etwas anderes als ein erfolgreicher MFA-Bypass bei einem Nutzerkonto. 7
11
Mit den vorhandenen Berechtigungen hätte die App potenziell auf Microsoft-365-Ressourcen wie E-Mails, OneDrive, SharePoint, Teams und Verzeichnisdaten zugreifen können. Der mögliche Umfang der Berechtigungen ist aber kein Beleg dafür, dass all diese Daten tatsächlich ausgelesen wurden. Todyl meldete bei der Untersuchung von neun Mandanten die unautorisierten Anmeldungen; dieser begrenzte Befund sagt nicht aus, was in anderen Umgebungen geschah. 6
19
29
Hinweise auf zusätzliche Zugänge
Huntress meldete selbst zugewiesene Verzeichnisrollen in fast 50 Mandanten. In einem beobachteten Fall verschaffte sich eine Teams-Verwaltungsanwendung die Rolle Global Administrator und fügte Zugangsdaten zu weiteren Anwendungen hinzu – darunter zu einer Management-Tool-App eines Managed Service Providers (MSP) und zu einer Huntress-Anwendung. Solche zusätzlichen Zugangsdaten können weitere Zugriffswege schaffen, die unabhängig von der ursprünglichen Cloud-Backup-Integration bestehen. 1
9
Deshalb reicht es möglicherweise nicht, nur die Anbindung des Anbieters zu deaktivieren. Admins sollten auch nach unbekannten Anwendungsgeheimnissen und unerwarteten Rollenzuweisungen suchen. 1
13
Was über die Backups bekannt ist – und was offenbleibt
ConnectWise erklärte, es gebe keine Hinweise darauf, dass Partner-Backupdaten abgerufen worden seien. Vorhandene Archive sollten nach Wiederherstellung des Dienstes wieder verfügbar sein. Diese Aussage bezieht sich auf die Backup-Archive; sie belegt nicht, dass Microsoft-365-Daten der Kunden unangetastet blieben. Zum Zeitpunkt des gemeldeten Updates war kein Wiederherstellungstermin angekündigt. 4
19
In einem Update vom 17. Oktober teilte ConnectWise mit, Zertifikate für betroffene Anwendungsverbindungen widerrufen und gemeinsam genutzte Cloud-Backup-Zugangsdaten ungültig gemacht zu haben. Die Unterbrechung des Dienstes und das Sperren von Zugangsdaten sind Eindämmungsmaßnahmen, aber noch keine abschließende Bilanz der Auswirkungen. 3
Nach den verfügbaren Berichten sind weder die Gesamtzahl betroffener Organisationen noch das Ausmaß eines möglichen Datendiebstahls oder die Ursache für die ursprüngliche Kompromittierung geklärt. Die Untersuchungen verschiedener Sicherheitsfirmen umfassten unterschiedliche Mandanten. Die Beobachtungen eines Unternehmens bilden deshalb nicht automatisch ein vollständiges Bild aller betroffenen Umgebungen. 1
9
19
Was Microsoft-365-Admins jetzt tun sollten
- Betroffene Anwendungen deaktivieren und Beweise sichern. Huntress riet betroffenen Organisationen, die Anwendung zu deaktivieren. Löschen Sie sie nicht, bevor Sie relevante Anmelde-, Rollen- und Zugangsdatenänderungen geprüft haben. Richten Sie sich vor einer erneuten Verbindung nach aktuellen Anbieter- und Incident-Response-Empfehlungen.
9
13
- Auch andere Anwendungen prüfen. Suchen Sie nach unerwarteten Geheimnissen oder Zugangsdaten, die seit dem 13. Oktober hinzugefügt wurden, und nach unbekannten Rollenzuweisungen. Eine Rotation der Zugangsdaten des Anbieters oder eine Dienstunterbrechung entfernt nicht automatisch Zugangsdaten, die Angreifer in anderen Apps hinterlegt haben.
1
- Anwendungsanmeldungen getrennt von Nutzeranmeldungen untersuchen. Da die Aktivität über eine Anwendungsidentität lief, genügt eine Prüfung der MFA-Ereignisse von Nutzerkonten allein nicht.
7
- Fehlende Audit-Ereignisse nicht als Entwarnung werten. Bestimmte Microsoft-Graph-Lesevorgänge auf Verzeichnisdaten hinterlassen möglicherweise keinen Eintrag im Verzeichnis-Auditprotokoll. Wenn solche Ereignisse fehlen, beweist das daher nicht, dass kein Zugriff stattgefunden hat.
Die zentrale Lehre: Eine vertrauenswürdige Integration kann weitreichende Zugriffsrechte über viele Kundenumgebungen hinweg bündeln. In diesem Fall rechtfertigen die bestätigten Anwendungsanmeldungen und die gemeldeten Hinweise auf zusätzliche Zugänge eine gründliche Untersuchung – auch dort, wo ein Datendiebstahl bislang nicht nachgewiesen ist. 9
15
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „ConnectWise Cloud Backup: Angreifer nutzten eine vertrauenswürdige App für Microsoft-365-Zugriffe“?
Huntress meldete unautorisierte Anmeldungen in 173 Microsoft 365 Mandanten über ein kompromittiertes ConnectWise Cloud Backup App Zugangsmittel.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Huntress meldete unautorisierte Anmeldungen in 173 Microsoft 365 Mandanten über ein kompromittiertes ConnectWise Cloud Backup App Zugangsmittel. Die Angreifer meldeten sich als Anwendung an, nicht als Nutzerkonto. Deshalb griff die nutzerbezogene Mehr Faktor Authentifizierung (MFA) in diesem Anmeldeablauf nicht.