ConnectWise Cloud Backup-Sicherheitslücke kompromittiert über 160 Microsoft 365-Mandanten

ConnectWise hat seinen Cloud Backup-Dienst am 17. Oktober abgeschaltet, nachdem Sicherheitsforscher bestätigten, dass Angreifer die Anwendungsanmeldedaten der Plattform kompromittiert und für den Zugriff auf Microsoft 365-Umgebungen von Kunden verwendet hatten. Der Dienst, den ConnectWise von SkyKick übernommen hat, verfügt konstruktionsbedingt über weitreichende OAuth-Berechtigungen in verwalteten Mandanten — und genau diese Reichweite machte diesen Einbruch so schwerwiegend.

Das Sicherheitsunternehmen Huntress identifizierte in seiner eigenen Überwachungsumgebung mindestens 162 kompromittierte Mandanten. Da sich ConnectWise Cloud Backup als Anwendung und nicht als Benutzer authentifiziert, wurde MFA zu keinem Zeitpunkt ausgelöst. Der Angreifer nutzte ein skriptbasiertes Tool, um sich direkt mit dem gestohlenen App-Secret zu authentifizieren, und erhielt so Lese- und Schreibzugriff auf E-Mails, SharePoint-Dateien, OneDrive-Daten und Teams-Chats in allen betroffenen Mandanten.

Die schädliche Aktivität begann mindestens am 13. Oktober mit skriptbasierten Versuchen von der IP-Adresse 144.172.64[.]128. Todyl analysierte neun Einbrüche und fand lediglich Anmeldeaktivitäten — ohne Dateianlage, Persistenz oder Lateral Movement. Microsoft bestätigte die Aktivität und wies darauf hin, dass der Angreifer wahrscheinlich Directory.ReadWrite.All-Berechtigungen missbrauchte. In mindestens einem Mandanten wurde eine Cloud Management-Anwendung genutzt, um sich selbst die Rolle des Global Administrator zu gewähren.

ConnectWise nahm den Dienst um 05:01 UTC am 17. Oktober offline, ohne einen Wiederherstellungszeitplan zu nennen. Das Unternehmen erklärte, dass vorhandene Backup-Archive nicht betroffen seien und keine Hinweise auf eine Kompromittierung der Partner-Backup-Daten vorlägen — obwohl das vollständige Ausmaß des Zugriffs noch unklar ist.

Managed Service Provider, die ConnectWise Cloud Backup oder Cloud Management nutzen, sollten sofort die Service Principal-Anmeldeprotokolle in Entra ID auditieren, gefiltert nach der App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Das Deaktivieren der Anwendung stoppt neue Token-Ausstellung, macht aber bestehende Token nicht ungültig. Administratoren sollten zudem Änderungen an Anmeldedaten oder OAuth-Grants seit dem 13. Oktober überprüfen.

Dieser Angriff folgt dem Muster von Bedrohungsakteuren, die Backup- und Verwaltungsplattformen ins Visier nehmen, weil diese konstruktionsbedingt persistente, privilegierte Anmeldedaten tragen. Ein MSP-Tool, das auf jeden verwalteten Mandanten zugreifen kann, ist bei einem Credential-Leak ein einzelner katastrophaler Ausfallpunkt.

Zuerst berichtet von BleepingComputer, mit zusätzlichen Analysen von Huntress und Todyl.