ConnectWise hat seinen Cloud-Backup-Dienst ausgesetzt, nachdem unbekannte Angreifer unberechtigten Zugriff auf seine App-Identitäten erlangt und damit Microsoft-365-Mandanten betreten hatten.
Das Unternehmen erklärte, es habe das Problem am 14. Oktober 2026 über seine Sicherheitsüberwachung erkannt und daraufhin eine Untersuchung eingeleitet. Laut der von The Hacker News berichteten ConnectWise-Darstellung hat es am 17. Oktober um 07:00 UTC sieben App-Identitäten deaktiviert und die Zertifikate widerrufen, die die betroffenen Verbindungen absicherten.
Ein separater Bericht besagt, ConnectWise habe die Unterbrechung des Cloud Backups am 17. Oktober um 05:01 UTC angekündigt. Diese Zeitangaben beziehen sich jeweils auf die gemeldete Schutzmaßnahme bzw. auf die Dienstankündigung und sollten nicht als ein einziger Zeitstempel behandelt werden.
Die Abschaltung verhindert neue Authentifizierungen über die betroffenen Verbindungen. Sie entfernt jedoch weder Zugangsdaten, Berechtigungen noch andere Persistenzmechanismen, die Angreifer bereits in Kundenmandanten angelegt haben könnten.
Backup- und Verwaltungsdienste offline geschaltet
Cloud Backup, früher SkyKick Cloud Backup, bietet Datensicherung und Wiederherstellung für Microsoft 365 und Google Workspace. ConnectWise hat außerdem SaaS Security und Cloud Management vorübergehend offline genommen, während das Unternehmen den Vorfall untersucht.
Geplante Sicherungen laufen nicht, und Kunden können derzeit weder die betroffenen Backup-Archive noch die Wiederherstellungsfunktionen nutzen. ConnectWise erklärt, dass bestehende Archive verschlüsselt, isoliert und erhalten bleiben. Das Unternehmen hat keine Hinweise darauf gemeldet, dass gespeicherte Backups oder Backup-Daten von Partnern abgerufen oder kompromittiert wurden.
ConnectWise erklärte, die an dem Vorfall beteiligten gemeinsam genutzten Zugangsdaten für Cloud Backup seien nicht mehr gültig. Zugriffstoken, die vor dem Widerruf ausgestellt wurden, können jedoch bis zu ihrem Ablauf oder ihrer separaten Invalidierung weiter nutzbar bleiben. Das Deaktivieren der ursprünglichen Verbindung entschärft außerdem keine Zugangsdaten oder Berechtigungen, die über andere App-Identitäten angelegt wurden.
Das Unternehmen nennt diese sieben deaktivierten Identitäten:
| Anwendungsname | Anwendungs-(Client-)ID |
|---|---|
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| ConnectWise Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| ConnectWise Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| ConnectWise Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| ConnectWise Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| ConnectWise Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
In älteren Mandanten können einige Cloud-Management-Anwendungen unter dem Namen SkyKick Cloud Manager erscheinen.
ConnectWise hat noch nicht festgestellt, ob eine Schwachstelle in einem seiner Produkte zur Kompromittierung beigetragen hat. Der Mechanismus, durch den die Zugangsdaten der Anwendung offengelegt wurden, wird weiterhin untersucht.
Anwendungs-Zugangsdaten umgehen die Benutzerauthentifizierung
Für den Angriff war das Passwort eines Microsoft-365-Benutzers nicht erforderlich. Forscher erklärten, der Akteur habe sich als Backup-Anwendung authentifiziert, indem er deren Geheimnis gegenüber Microsoft Entra ID vorlegte und Token anforderte, die Berechtigungen enthielten, die Kunden bereits erteilt hatten.
Da es sich um eine anwendungsbasierte Authentifizierung und nicht um eine interaktive Benutzeranmeldung handelte, galt die MFA des Benutzers nicht. Das Widerrufen von Benutzersitzungen würde den Zugriff der Anwendung allein nicht beenden.
Diese bestehenden Berechtigungen waren umfangreich. Todyl erklärte, die Anwendung habe technisch E-Mails und Anhänge, OneDrive- und SharePoint-Dateien sowie Teams-Chats lesen und schreiben können. Das beschreibt, was die Autorisierung zuließ, und ist kein Beleg dafür, dass alle diese Datentypen tatsächlich abgerufen wurden.
Weitreichendere Verwaltungsberechtigungen eröffneten zudem Wege zur Persistenz. Huntress beobachtete, dass Dienstprinzipale, die mit ConnectWise Cloud Management verknüpft sind, sich in knapp 50 überwachten Mandanten selbst Verzeichnisrollen zuwiesen, am häufigsten Exchange Administrator. In einem Mandanten wies sich der Dienstprinzipal Cloud Management - MS Teams selbst die Rolle Global Administrator zu und fügte Zugangsdaten zu einer Verwaltungsanwendung eines MSP sowie zu Huntress' eigener Anwendung hinzu. Huntress zufolge dauerte die Abfolge etwa fünf Minuten.
Wie BleepingComputer berichtet, stufte Microsoft die Operation als aktiven Supply-Chain-Angriff ein und hielt es für wahrscheinlich, dass der Akteur bestehende Berechtigungen missbraucht hat, darunter Directory.ReadWrite.All. Berichten zufolge beobachtete Microsoft nach einer erfolgreichen Dienstprinzipal-Authentifizierung eine Backdoor, gefolgt von Aufklärung über Microsoft Graph und Versuchen, Zugangsdaten hinzuzufügen.
Anmeldeaktivität und bestätigte Kompromittierung sind verschiedene Kennzahlen
Huntress stellte Anmeldeaktivität von der IP-Adresse des Angreifers in fast 1.000 Entra-Mandanten fest. Davon waren 300 Anmeldungen erfolgreich. Eine erfolgreiche Authentifizierung verschaffte jedoch nicht immer Zugriff auf den Mandanten: In einigen Fällen fehlte der erforderliche Dienstprinzipal.
In der eigenen Umgebung von Huntress identifizierten die Forscher mindestens 162 kompromittierte Mandanten. Diese Zahl ist von den fast 1.000 Mandanten mit Anmeldeaktivität und den 300 erfolgreichen Anmeldungen zu unterscheiden.
Weitere Erkenntnisse beziehen sich auf kleinere Stichproben:
- Todyl untersuchte neun Mandanten und fand dort nur Anmeldeaktivität. Dort wurden weder neue Konten noch Änderungen an Berechtigungen oder Passwörtern festgestellt und auch keine Persistenz über die Backup-Anwendung.
- Huntress bestätigte den Missbrauch der Teams-Anwendung in einem Mandanten.
- Knapp 50 von Huntress überwachte Mandanten zeigten Selbstzuweisungen von Verzeichnisrollen durch Dienstprinzipale von ConnectWise Cloud Management.
- Eine zweite gezielte Welle nahm 16 Mandanten in den Bereichen Politik, nationale Sicherheit, Handel und kritische Mineralien ins Visier. Huntress zufolge scheiterten diese Versuche.
Huntress verknüpfte skriptbasierte Versuche mit curl/7.88.1 mit dem 13. und 14. Oktober 2026. ConnectWise erkannte das weitergehende Problem am 14. Oktober.
Am 15. Oktober verzeichnete Huntress um 08:45 UTC die letzte schädliche Anmeldung von der ursprünglichen Adresse. Ein anschließender Durchlauf, der Graph-Token der SkyKick-Anwendung ins Visier nahm, lief von 09:25:04 bis 12:35:50 UTC. Ein zweiter, offenbar manueller Durchlauf gegen dieselben 16 Mandanten fand von 13:54:39 bis 14:20:24 UTC statt und richtete sich gegen Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra und die Office-365-Management-APIs.
Huntress erklärte, nach dem 15. Oktober keine neuen schädlichen Aktivitäten festgestellt zu haben. ConnectWise erklärte ebenfalls, seit Anwendung seiner Schutzmaßnahmen keine erfolgreichen Aktivitäten in den von ihm überwachten Umgebungen gesehen zu haben, wies aber darauf hin, dass es die nachgelagerten Umgebungen der Kunden nicht direkt einsehen kann.
Indikatoren und Mandantenprüfungen
Der wichtigste Netzwerkindikator ist:
- IP-Adresse:
144.172.64[.]128
Mit der Aktivität werden unter anderem folgende User Agents in Verbindung gebracht:
python-urllib/3.12python-requests/2.31python-requests/2.34.2curl/7.88.1
ConnectWise-Partner sollten sowohl ihre eigenen Microsoft-365-Umgebungen als auch jeden verwalteten Kundenmandanten prüfen, einschließlich ruhender SkyKick-Verbindungen. Empfohlene Prüfungen umfassen:
- Suchen Sie in den Entra-Anmeldungen von Dienstprinzipalen nach den sieben Anwendungs-IDs und nach unerwarteten Quelladressen, insbesondere
144.172.64[.]128. - Prüfen Sie Anmeldungen über alle Identitäten ab dem 13. Oktober 2026.
- Sichern Sie Anmelde- und Auditprotokolle, bevor Eindämmungsmaßnahmen die verfügbaren Nachweise verändern.
- Prüfen Sie Anwendungs-Zugangsdaten, Geheimnisse und Zertifikate auf unberechtigte Ergänzungen seit dem 13. Oktober.
- Prüfen Sie OAuth-Zustimmungen, Verzeichnisrollen, Anwendungsbesitzer, Föderationsvertrauensstellungen und kürzlich vorgenommene Richtlinienänderungen.
- Suchen Sie nach neu hinzugefügten Zugangsdaten bei anderen vertrauenswürdigen Anwendungen, nicht nur bei der ursprünglichen ConnectWise-Identität.
- Prüfen Sie Exchange auf unberechtigte Weiterleitungen, Posteingangs- oder Transportregeln sowie delegierten Postfachzugriff.
- Prüfen Sie andere Cloud-Management-Integrationen und untersuchen Sie Identitäten, die während verdächtiger Aktivitäten geändert oder verwendet wurden.
Huntress empfiehlt außerdem, einzuschränken, wer Application Administrator und Cloud Application Administrator innehat, Richtlinien für die Anwendungsverwaltung zu nutzen, um Client-Geheimnisse und die Lebensdauer von Zugangsdaten zu begrenzen, und Conditional Access für Workload-Identitäten anzuwenden, soweit die Lizenzierung dies erlaubt. Microsoft Entra ID Protection kann zudem riskante Dienstprinzipale erkennen.
Diese Kontrollen ersetzen die Prüfung der Zugangsdaten nicht. Der Widerruf durch ConnectWise stoppt neue Authentifizierungen über die betroffenen Verbindungen, doch jeder Mandant muss weiterhin feststellen, ob der Angreifer einen eigenen Zugangsweg angelegt hat, der die Entfernung der ursprünglichen Zugangsdaten übersteht.
