LONDON (IT BOLTWISE) – ConnectWise hat nach einem Supply-Chain-Vorfall den Zugang zu seiner Cloud-Backup-Lösung gestoppt, nachdem Angreifer Anwendung-Identitäten in Microsoft-365-Mandanten missbrauchten. Laut Microsoft gab es am 15. Oktober unautorisierte Authentifizierungsversuche von einer konkreten IP-Adresse. Sicherheitsanbieter meldeten Dutzende bis hunderte betroffene Mandanten und beobachteten, dass die Angriffe häufig ohne wirksame MFA stattfanden. Offen bleibt bislang, wie weit Datenabflüsse wirklich waren und wie lange der Zugriff unentdeckt blieb.
ConnectWise hat den Zugriff auf seine Cloud-Backup-Lösung gestoppt, nachdem Angreifer in der Lieferkette offenbar nicht primär Kunden-Accounts gekapert, sondern die hinterlegte Anwendungsidentität des Backup-Dienstes missbraucht haben. Die Idee dahinter ist für viele IT-Teams zunächst schwer greifbar: Ein Backupdienst arbeitet in Microsoft 365 typischerweise nicht über einen „normalen“ Benutzer, sondern nutzt eine freigegebene Rechtebasis, die in einem Mandanten bereits vorliegt. Genau diese Rechtebasis wurde im konkreten Vorfall offenbar zur Einfallstür, denn die Angreifer konnten sich als die Backup-Anwendung authentifizieren und damit auf das zugreifen, was Kunden dem Dienst ursprünglich für Sicherung und Wiederherstellung erlaubt hatten.
Im Kern läuft das über Microsoft Entra ID. Ein „Service Principal“ steht dabei für eine App-Identität innerhalb des Kundenmandanten; sie repräsentiert die Software und erhält Zugriffsrechte, die der Kunde per Berechtigungen freigibt. Microsoft bestätigte dafür unautorisierte Anmeldeversuche im Umfeld der ConnectWise-Cloud-Backup-Komponente und ordnete die Vorgänge einer bestimmten IP-Adresse zu, die am 15. Oktober aktiv gewesen sein soll. Sicherheitsanbieter wiederum berichteten, sie hätten in ihrer eigenen Telemetrie eine relevante Zahl kompromittierter Mandanten gesehen – darunter mindestens 162 bestätigte Fälle in einer beobachteten Umgebung, während weitere Beobachter von deutlich mehr Mandanten sprachen. Für Betreiber von Microsoft-365-Umgebungen ist das vor allem deshalb heikel, weil der Zugriff nicht wie ein typischer Login mit Benutzername und MFA aussieht, sondern wie ein dienstlicher, automatisierter Token-Austausch.
Technisch bemerkenswert ist, dass die Angreifer laut den Analysen die Anmeldung automatisiert abwickelten. In den beobachteten Fällen wurden demnach Skripte genutzt, die sich direkt über die Anwendungsgeheimnisse (Secrets) der Backup-Identität gegenüber Microsoft authentifizierten. Das erklärt auch, warum Schutzmechanismen wie MFA oft ins Leere liefen: MFA greift bei Nutzeranmeldungen, nicht bei App-zu-API-Zugriffen, wenn die App bereits die erforderlichen Rechte und die entsprechenden Tokens erhält. Todyl-Analysen gingen zudem der Frage nach, ob der Angreifer nach der ersten Authentifizierung weitere Manipulationen vorgenommen hat; in mehreren untersuchten Mandanten fanden sie in erster Linie Anmeldeaktivität über das Backup-Setup, aber keine klaren Hinweise, dass der Angreifer zusätzliche Konten erstellt oder Passwörter geändert hat. Gleichwohl waren die möglichen Auswirkungen nicht trivial, weil die Anwendung, einmal im Besitz gültiger Zugriffsrechte, technisch Sicht- und Schreibzugriffe auf Postfächer, Dateiinhalte in OneDrive und SharePoint sowie Kommunikationsinhalte in Teams ermöglicht.
Die Lage wird noch anspruchsvoller, sobald man den Schritt von „Zugriff über den Backup-Client“ zu „fortbestehender Missbrauch“ betrachtet. Huntress beschrieb, dass in einem großen Teil der beobachteten Mandanten Service Principals aus dem Umfeld der ConnectWise-Cloud-Management-Apps (u. a. für Exchange Online, Microsoft Teams und Microsoft Graph) sich selbst Verzeichnisrollen zuwiesen – besonders häufig die Rolle „Exchange Administrator“. In mindestens einem Fall beobachteten sie außerdem eine Persistenzmaßnahme, die nur wenige Minuten gedauert haben soll, inklusive Rollenänderungen und dem nachgelagerten Hinterlegen von Zugangsdaten in Tools für MSP-Management sowie in einer eigenen Anwendung. Microsoft selbst meldete ebenfalls Persistenz- und Reconnaissance-Aktivitäten über Microsoft Graph nach erfolgreicher Service-Principal-Authentifizierung, gefolgt von Versuchen, weitere Anmeldedaten hinzuzufügen. Zentral für die Einordnung: Alle genannten Beobachter verknüpften die Vorfälle mit derselben Quell-IP (144.172.64[.]128), was zumindest auf eine koordinierte Kampagne hindeutet.
Für die Forensik und die nächsten Maßnahmen liefern die Details zu Anmeldekennungen und User Agents einen konkreten Einstieg. Huntress identifizierte die legitime ConnectWise-Cloud-Backup-App-ID (506e08f9-6e9a-4da4-942b-a099a03644ae) als den Anker der Angriffe und verfolgte außerdem automatisierte Sign-in-Versuche auf frühere Tage zurück, darunter am 13. und 14. Oktober. Für die Suche nach Mustern nannte man zudem typische HTTP-User-Agents wie curl sowie Varianten aus der Python-Requests- und urllib-Umgebung. Microsoft und Huntress empfehlen deshalb, die Service-Principal- oder App-Registrierungen in Entra zu prüfen und dabei genau auf die betroffenen App-IDs zu filtern, dann unerwartete Quelladressen zu untersuchen und Credential-Änderungen sowie OAuth Grants und damit verbundene Graph-Aktivitäten zu verifizieren. ConnectWise riet ebenfalls dazu, Service-Principal-Sign-ins im Entra-ID-Kontext abzugleichen und unerwartete Adressen zu prüfen, während gleichzeitig betont wurde, dass ältere Mandanten die Cloud-Management-Apps unter einem früheren Namen („SkyKick Cloud Manager“) führen können.
Organisatorisch ist der wichtigste Punkt die Reihenfolge der Reaktion. Das Abschalten der betroffenen Anwendung stoppt zwar neue Token-Ausgaben, entfernt aber nicht automatisch bereits ausgestellte Berechtigungen oder laufende Zugriffsrechte, solange Tokens noch gültig sind. Huntress erklärte daher ausdrücklich, dass ein Vendor-Shutdown nicht automatisch „eingepflanzte“ Berechtigungen aus Kundenmandanten entfernt und dass Administratoren Secrets und Zertifikate über alle relevanten Anwendungen hinweg auf nicht autorisierte Ergänzungen seit mindestens dem 13. Oktober prüfen sollten. Todyl ergänzte den technischen Blickwinkel, dass selbst das reine Deaktivieren die bestehende Tokenlage nicht zwingend sofort beendet, und dass auch das Zurücksetzen von Benutzersitzungen nicht ausreicht, wenn der Zugriff über App-basierte Tokens läuft. Für MSPs ist damit klar: Das Risiko sitzt nicht nur im „Backup-Prozess“, sondern im Rechte- und Token-Modell, das zwischen Dienstanbieter und Kundenmandant etabliert wurde.
Wie sich die Angriffe konkret auf Datenabflüsse ausgewirkt haben, bleibt zum Zeitpunkt der Meldungen unklar. ConnectWise stellte zwar fest, es gebe bislang keine Hinweise, dass die Backup-Archivdaten selbst kompromittiert wurden, gleichzeitig wurde aber über mögliche unautorisierte Zugriffe in mehreren Tenants berichtet. Der Hinweis aus der Praxis lautet daher: Selbst wenn ein Backup-Archiv nicht verändert wurde, kann allein die Sichtbarkeit von E-Mails, Attachments oder Teams-Chats bereits als sicherheitskritischer Schaden zählen. Außerdem zeigt der Vorfall ein Muster, das in Security-Reports wiederholt diskutiert wird: Umso besser präventive Kontrollen am Anfang greifen, desto wichtiger wird die Frage, was nach der ersten Kompromittierung passiert. Sobald Angreifer mit gültigen Berechtigungen arbeiten, sinkt die Wirksamkeit vieler Schutzmechanismen. Für Unternehmen heißt das letztlich, dass Monitoring für App- und OAuth-Aktivitäten so eingerichtet sein muss, dass abweichende Service-Principal-Verhaltensmuster – etwa ungewöhnliche User Agents, unerwartete Quell-IP-Adressen oder plötzliche Rollenzuweisungen – nicht erst im Incident-Fall auffallen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ConnectWise Cloud-Backup: Angreifer missbrauchen 365-Tenants über Service-Principal" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ConnectWise Cloud-Backup: Angreifer missbrauchen 365-Tenants über Service-Principal" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ConnectWise Cloud-Backup: Angreifer missbrauchen 365-Tenants über Service-Principal« bei Google Deutschland suchen, bei Bing oder Google News!