Unbekannte Bedrohungsakteure nutzten eine kompromittierte ConnectWise-Cloud-Backup-Anmeldeinformation, um sich unbefugten Zugriff auf 173 Microsoft-365-Partner- und Kunden-Tenants zu verschaffen. Dies geht aus einem Bericht von The Hacker News hervor, der sich auf Huntress beruft.
Huntress beobachtete am 15. Oktober 2026 zwischen 06:13 und 08:34 UTC, dass Microsoft-Graph-Token von 144.172.64[.]128 abgerufen wurden. Die Zahl 173 bezieht sich auf Tenants mit bestätigten unbefugten Anmeldungen, nicht auf einzelne Benutzer, Kunden oder offengelegte Datensätze.
ConnectWise Cloud Backup, ehemals SkyKick, wird von Managed Service Providern eingesetzt, um Daten von Microsoft 365 und Google Workspace zu schützen. In Microsoft-365-Umgebungen können die zugestimmten Berechtigungen umfassenden Zugriff auf Postfächer, OneDrive, SharePoint, Teams und Verzeichnisinformationen ermöglichen.
Huntress erklärte, dass jede Organisation, in der die Anwendung installiert bleibt, im potenziellen Wirkungsbereich der Anmeldeinformation liegt. Dabei handelt es sich um eine Einschätzung des möglichen Risikos; das bedeutet nicht, dass auf jeden dieser Tenants tatsächlich zugegriffen wurde.
Angreifer übernahmen die Berechtigungen der Backup-Anwendung
Laut Huntress authentifizierten sich die Angreifer mit eigenen Werkzeugen an der Cloud-Backup-Anwendung und forderten Token an, die bereits dem Dienst gewährte Berechtigungen enthielten. Auf die beobachteten Tenants wurde in sortierter GUID-Reihenfolge zugegriffen, jeweils nur wenige Sekunden auseinander. Das deutet auf einen automatisierten Vorgang hin, der eine vorbereitete Zielliste abarbeitete.
Todyl meldete zudem, eine unbefugte Partei habe sich bei Microsoft Graph als die Anwendung ConnectWise Cloud Backup authentifiziert. Die übernommene Zustimmung könne Lese- und Schreiboperationen ermöglichen, unter anderem bei:
- E-Mails und Anhängen, einschließlich vollständigem Postfachzugriff über Exchange Web Services
- Dateien in OneDrive und SharePoint
- Chats in Microsoft Teams
- Funktionen zur Datenwiederherstellung
Laut Todyl beendet das Widerrufen regulärer Benutzersitzungen diesen anwendungsbezogenen Zugriff nicht. Das Deaktivieren der App verhindert, dass sie in diesem Tenant neue Token erhält; bereits ausgestellte Token können jedoch noch bis zu 90 Minuten gültig bleiben. Bleibt die Anwendung aktiviert, besteht das Risiko weiter, bis ConnectWise die kompromittierte Anmeldeinformation rotiert.
Dieselbe Quell-IP führte außerdem am 13. und 14. Oktober 2026 Password-Spraying gegen vier Kanzlei-Tenants durch. Huntress erklärte, ihre Telemetriedaten zeigten keine erfolgreichen Benutzeranmeldungen infolge dieser Versuche.
In einem Tenant kam es zu weiterer Rechteausweitung
In mindestens einem Partner-Tenant beobachtete Huntress, dass eine weitere Anwendung, die ConnectWise Cloud Management App für Microsoft Teams mit der Anwendungs-ID 24205314-2b89-4e07-a2a4-579e898a5640, sich selbst zur Rolle Global Administrator hinzufügte.
Die Anwendung führte anschließend ein Python-Skript aus, erkennbar am User-Agent Python-urllib/3.12. Dieses Skript fügte zwei weiteren Anwendungen neue Client-Geheimnisse hinzu: einer MSP-Verwaltungsanwendung und der Anwendung der Huntress Security Platform.
Dies kann die Folgen über die ursprüngliche Cloud-Backup-Anmeldeinformation hinaus ausweiten. Huntress erklärte, dass MSP-Verwaltungsanwendungen häufig in Kunden-Tenants zugestimmt wird, während eine einer Sicherheitsanwendung hinzugefügte Anmeldeinformation alle Operationen übernimmt, zu denen dieses Tool berechtigt ist.
Das genaue Ausmaß hängt daher von den Berechtigungen ab, die in jedem Tenant erteilt wurden.
ConnectWise sperrt den Anwendungszugriff
ConnectWise hat den Zugriff auf die Cloud-Backup-Anwendung bis auf Weiteres gesperrt. Das Unternehmen erklärte, es habe keine Hinweise darauf gefunden, dass Backup-Daten von Cloud-Backup-Partnern kompromittiert wurden.
Diese Aussage bezieht sich nur auf Backup-Daten. Sie widerlegt nicht Huntress’ Feststellungen zu unbefugten Anmeldungen bei Microsoft-365-Tenants über die Anmeldeinformation der Anwendung.
Was Administratoren prüfen sollten
ConnectWise nannte die folgende Anwendungs-ID der Cloud-Backup-Anwendung und die verdächtige Adresse:
- Anwendungs-ID der Cloud-Backup-Anwendung:
506e08f9-6e9a-4da4-942b-a099a03644ae - Verdächtige IP:
144.172.64[.]128
Administratoren können die entsprechenden Einträge hier prüfen:
Microsoft Entra Admin Center → Monitoring → Sign-in logs → Service principal sign-ins
Die Protokolle sollten nach der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae gefiltert werden. Die Standardansicht User sign-ins zeigt die für diese Prüfung erforderlichen Aktivitäten von Dienstprinzipalen nicht an.
ConnectWise erklärte, dass der reguläre ausgehende Datenverkehr von Cloud Backup private IPv6-Adressen von Azure verwendet. Authentifizierungen von Adressen außerhalb der erwarteten Microsoft- oder Azure-Bereiche sollten überprüft werden.
Huntress empfiehlt Organisationen Folgendes:
- Die Anwendung deaktivieren, bis ConnectWise bestätigt, dass alle Anmeldeinformationen zurückgesetzt wurden.
- Microsoft-Graph-Aktivitätsprotokolle aktivieren.
- Anwendungen auf neue Anmeldeinformationen prüfen, die seit dem 13. Oktober 2026 hinzugefügt wurden.
- Entra-Überwachungsprotokolle auf ConnectWise- oder SkyKick-Anwendungen prüfen, die sich selbst zu Verzeichnisrollen hinzugefügt haben.
- Nach der Anwendungs-ID
24205314-2b89-4e07-a2a4-579e898a5640und dem User-AgentPython-urllib/3.12suchen.
Manche Aktivitäten, darunter bestimmte Lesezugriffe auf Microsoft-Graph-Verzeichnisse, erzeugen möglicherweise keinen Prüfprotokolleintrag, warnte Huntress. Administratoren sollten das Fehlen passender Protokolleinträge daher nicht als Beweis dafür werten, dass ein zugestimmter Tenant nicht erreichbar war.
