LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer aktiven Kampagne, bei der Angreifer eine kompromittierte Microsoft-365-Zugangsdaten für ConnectWise Cloud Backup missbrauchen. In 173 Partner- und Kundentenants haben sie damit unautorisierte Anmeldungen und Tokens erlangt. Betroffen sind vor allem Umgebungen, in denen die Backup-App bereits mit weitreichenden Berechtigungen installiert und autorisiert ist. Zusätzlich wird ein Weg beschrieben, wie über weitere ConnectWise-Apps sogar globale Administratorrechte in einzelnen Mandanten nachgezogen werden können.
Bei Cloud-Backups in Microsoft 365 ist der Zweck klar: Die App muss weitreichenden Zugriff auf Postfächer, Dateien und Verzeichnisdaten erhalten, um Sicherungen zuverlässig durchführen zu können. Genau diese funktionale Notwendigkeit wird nun zum Einfallstor. Laut Berichten aus der Sicherheitsforschung nutzen unbekannte Angreifer eine kompromittierte Microsoft-365-Zugangskomponente, die ConnectWise Cloud Backup (früher SkyKick) zugeordnet ist. Damit verschafften sie sich Zugriff auf die Kundenumgebungen, in denen die Anwendung installiert ist – und zwar nicht nur in einem einzelnen Mandanten, sondern nach bisher beobachteten Fällen in 173 Partner-/Kundentenants.
Technisch arbeitet die betroffene Backup-Software als OAuth-Client, der beim Betrieb pro Tenant bereits vorhandene Consent-/Einwilligungsrechte erbt. Für das Angriffsszenario entscheidend: Die App erhält typischerweise Berechtigungen, um innerhalb des jeweiligen Microsoft-365-Mandanten auf Mailbox-Inhalte sowie auf OneDrive-, SharePoint- und Teams-Daten zuzugreifen. Wer die Credential in die Hand bekommt, kann damit in jedem Mandanten, in dem die Anwendung autorisiert wurde, Microsoft-Graph-Tokens beziehen. In den beobachteten Attacken soll ein einheitlicher IP-Quellzugang am Abruf beteiligt gewesen sein; außerdem wird beschrieben, dass die Angreifer Mandanten in sortierter GUID-Reihenfolge ansteuerten und dabei jeweils nur wenige Sekunden pro Ziel aufwendeten. Dieses Muster passt zu Skripting, das aus einer vorbereiteten Ziel- oder Consent-Liste arbeitet.
Damit verschiebt sich das Risiko vom einzelnen Vendor-Konto hin zu einer Kettenwirkung über die tatsächliche Datenlandschaft des Kunden. Wenn ein Angreifer Token mit den bestehenden App-Rechten erlangt, kann er typischerweise das auslesen, was die Backup-Software auch ausliest: Postfächer und Anhänge, Dateien in OneDrive und SharePoint sowie Chats in Teams. Zusätzlich fällt ins Gewicht, dass der Zugriff nicht zwingend sofort durch das Abmelden einzelner Nutzer endet. Ein wesentlicher Punkt ist hier das Token-Lifecycle: Wird nur der Benutzerzugriff „weggeklickt“, bleiben bereits ausgestellte Tokens für eine gewisse Zeit weiter gültig (im Bericht wird ein Zeitfenster von bis zu 90 Minuten genannt). Deutlich wird das auch an der Empfehlung, nicht auf „Beweise“ zu warten, sondern unmittelbar zu handeln, weil ein Teil der benötigten Datenabfragen über Microsoft Graph in manchen Fällen ohne sichtbaren Nutzer-Audit-Trail ablaufen kann.
In mindestens einem Partner-Mandanten soll zudem ein zweiter Schritt stattgefunden haben, der die Bedrohungskurve nach oben zieht: Eine weitere ConnectWise-App wird dabei beschrieben, die sich selbst Global-Administrator-Privilegien zuweist und anschließend neue Credentials in andere als vertrauenswürdig eingestufte Anwendungen injiziert. Das öffnet einen Pfad zu privilegierten Tools, die wiederum in der Tenant-Umgebung bereits autorisiert sein können. Über ein konkretes Beispiel wird erläutert, dass ein Python-Skript im Kontext der App als User-Agent Python-urllib/3.12 ausgeführt wurde und zwei andere Anwendungen in dem Mandanten so modifizierte, dass neue Client-Secrets hinterlegt wurden. Für Unternehmen ist dabei weniger die Programmiersprache relevant als der Mechanismus: Eine bereits privilegierte App schafft sich dauerhaft weitere Vertrauensanker, die auch nach einzelnen Token-Revokierungen Bestand haben können, sofern der Credential-Rotation-Prozess nicht vollständig durchgeführt wird.
Als organisatorische Gegenmaßnahme hat ConnectWise laut Bericht den Cloud-Backup-Zugriff zunächst „geschlossen“, also vorläufigen Zugriff über die kompromittierte App-Komponente bis auf Weiteres gestoppt. Gleichzeitig wird betont, dass es bislang keine Hinweise auf eine Kompromittierung der Partner-Backupdaten gebe. Für Administratoren bleibt die praktische Abfolge aber klar: Erstens sollte die Anwendung in den betroffenen Tenants deaktiviert werden, bis alle Credentials sicher zurückgesetzt sind. Zweitens wird empfohlen, die Microsoft-Graph-Aktivitätslogs zu aktivieren bzw. zu prüfen und nach neuen Credentials zu suchen, die seit dem 13. Oktober 2026 hinzugefügt wurden. Drittens raten die Berichte, in Microsoft Entra im Entra Admin Center gezielt nach Service-Principal-Sign-ins zu filtern, unter Nutzung des genannten Application- beziehungsweise Service-Principal-Kontexts, weil die Standardansicht für User-Sign-ins nicht die relevanten Informationen liefert.
Interessant ist außerdem, dass die aktuelle Meldung in einen größeren Branchenkontext passt. Parallel wird aus dem Umfeld von Supply-Chain-Angriffen berichtet: In einer Kampagne, die angeblich zwischen April und Juli 2026 lief, soll die Update-Infrastruktur eines Backup-/Disk-Cloning-Tools so manipuliert worden sein, dass das Produkt in kurzen Manipulationsfenstern statt legitimer Updates bösartige Pakete nachlädt. Laut den zitierten Analysen wurden diese Tampering-Fenster nur für fünf bis zehn Minuten offen gehalten und danach wieder in den Originalzustand zurückversetzt, was traditionelle „dauerhafte“ Indikatoren in der Security-Triage erschwert. Für CIOs und Security-Leads bedeutet das: Selbst wenn einzelne Komponenten „nur“ Backup oder Update leisten, können kompromittierte Vertrauensketten nahezu unsichtbar sein – genau deshalb sollten Berechtigungen, Consent-Status und Token-/Credential-Rotation als wiederkehrende Kontrollpunkte in die Betriebsroutine einfließen.
Für die nächsten Schritte in der Praxis gilt: Unternehmen sollten nicht nur die App deaktivieren, sondern die gesamte Trust-Topologie im Tenant überprüfen. Dazu gehört, ob weitere ConnectWise- oder verwandte Anwendungen neu autorisiert wurden, ob zusätzliche Credentials in andere „vertrauenswürdige“ Anwendungen eingefügt wurden und ob Rollenmitgliedschaften wie directory roles verändert wurden. Gleichzeitig empfiehlt es sich, die typischen Netzwerkmuster (zum Beispiel die im Bericht genannte erwartbare egress-Seite in Richtung Azure private IPv6) mit den beobachteten Anmeldungen abzugleichen. Je schneller diese Prüfungen laufen, desto geringer ist die Wahrscheinlichkeit, dass Angreifer die temporale Validität gestohlener Token weiter ausnutzen oder über neu installierte Secrets eine dauerhafte Hintertür aufbauen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Missbrauch von ConnectWise-M365-Zugang: Angreifer kompromittieren 173 Tenants" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Missbrauch von ConnectWise-M365-Zugang: Angreifer kompromittieren 173 Tenants" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Missbrauch von ConnectWise-M365-Zugang: Angreifer kompromittieren 173 Tenants« bei Google Deutschland suchen, bei Bing oder Google News!