Kompromittierte Anmeldedaten von ConnectWise Cloud Backup für Anmeldungen bei Microsoft 365-Tenants genutzt

ConnectWise hat seinen Dienst Cloud Backup, das früher als SkyKick bekannte Backup-Produkt für Microsoft 365, ausgesetzt, nachdem das Unternehmen unbefugte Zugriffe auf damit verknüpfte Anwendungsidentitäten festgestellt hatte. Die Sicherheitsfirmen Huntress und Todyl sowie Microsoft berichteten, ein Angreifer habe sich mit den Anmeldedaten der Backup-Anwendung direkt bei Microsoft 365-Tenants von Kunden authentifiziert und Zugriffstoken für Microsoft Graph erlangt. Dabei habe er die weitreichenden Berechtigungen übernommen, die Kunden der App bereits erteilt hatten. Laut BleepingComputer und The Hacker News bezeichnete Microsoft Threat Intelligence den Vorfall als aktiven Lieferkettenangriff, berichtete von Aufklärung über die Graph API und von Versuchen, Anmeldedaten hinzuzufügen, um einen Hintertürzugang aufrechtzuerhalten, und schätzte ein, dass zuvor erteilte Berechtigungen wie Directory.ReadWrite.All wahrscheinlich missbraucht wurden.

ConnectWise erklärte in seiner Sicherheitsmitteilung, das Problem früher in der Woche festgestellt und versuchten unbefugten Zugriff erstmals am 16. Oktober offengelegt zu haben. Am frühen Samstag teilte das Unternehmen mit, den Anwendungszugriff von Cloud Backup zu kappen und Backups bis auf Weiteres anzuhalten. Laut einem späteren Update hat ConnectWise die Zertifikate betroffener Anwendungsverbindungen für alle Nutzer widerrufen, die gemeinsam genutzten Anmeldedaten, auf die sich der Dienst stützte, funktionieren nicht mehr, und ein externes Incident-Response-Unternehmen unterstützt. ConnectWise sagte, es habe seitdem in den von ihm überwachten Umgebungen keine erfolgreichen Bedrohungsaktivitäten festgestellt und keine Belege dafür, dass auf die verschlüsselten Backup-Archive zugegriffen wurde. Zudem gewähre die Architektur des Dienstes keinen Einblick in nachgelagerte Kundenumgebungen, sodass das Unternehmen nicht selbst feststellen könne, ob ein bestimmter Tenant betroffen ist. Ob eine Produktschwachstelle eine Rolle spielte, ist nicht geklärt, und wie die Anmeldedaten offengelegt wurden, wird weiterhin untersucht. Ein Zeitpunkt für die Wiederherstellung wurde nicht genannt.

Die Zahl der betroffenen Tenants unterscheidet sich je nach Quelle. Huntress schrieb, es habe mit Stand Freitag, 19:00 UTC, unbefugte Anmeldungen in 162 Tenants bestätigt; BleepingComputer gab die Zahl von Huntress mit mindestens 162 an. The Hacker News berichtete, Huntress habe bestätigte unbefugte Anmeldungen in 173 Tenants beobachtet. Todyl untersuchte laut BleepingComputer Einbrüche in neun Tenants und fand nur Anmeldeaktivität, ohne Hinweis darauf, dass der Angreifer Konten angelegt, Berechtigungen hinzugefügt, Benutzeranmeldungen zurückgesetzt oder über die Backup-App Persistenz erlangt hatte. Die Mitteilung von ConnectWise nennt keine Tenant-Zahl, und Huntress wies darauf hin, dass die Anmeldedaten überall funktionieren, wo der App die Zustimmung erteilt wurde, sodass die Gefährdung nicht auf bestätigte Fälle beschränkt ist.

Laut Huntress liefen die Anmeldungen am 15. Oktober von 06:13 bis 08:34 UTC und wanderten sortiert im Abstand weniger Sekunden von Tenant zu Tenant, was Huntress als Skript deutete, das eine Zielliste abarbeitet. In rund 50 von Huntress überwachten Tenants wiesen sich Dienstprinzipale von ConnectWise Cloud Management-Apps selbst Verzeichnisrollen zu, meist Exchange Administrator; der User-Agent deute zwar auf Automatisierung des Anbieters hin, dies habe man aber nicht mit ConnectWise bestätigt, so Huntress. In einem Tenant machte sich die Cloud Management-App für Microsoft Teams zum Global Administrator und fügte binnen etwa fünf Minuten einer MSP-Verwaltungsanwendung und der eigenen Anwendung von Huntress neue Anmeldedaten hinzu; Huntress hat dies aber nicht mit dem Akteur hinter den späteren Anmeldungen von der IP des Hosting-Anbieters in Verbindung gebracht. Laut einem Update vom Samstag geht Huntress mit hoher Sicherheit davon aus, dass auch die Cloud Management-Apps für Exchange Online, Teams und SharePoint Online missbraucht wurden. In dem einen genau geprüften Tenant sah Huntress keinen Zugriff auf E-Mails oder Dateien, merkte aber an, dass Lesezugriffe auf das Verzeichnis über Graph keine Audit-Spuren hinterlassen.

ConnectWise rät Administratoren, in den Entra-Anmeldeprotokollen den Reiter für Dienstprinzipal-Anmeldungen der Backup-App zu prüfen, nach Quellen außerhalb der erwarteten Microsoft- und Azure-Bereiche zu suchen, neue App-Anmeldedaten, Änderungen an Berechtigungen oder Zustimmungen sowie unerwartete Datenzugriffe zu überprüfen und relevante Protokolle aufzubewahren; eine Anomalie allein bestätige noch keine Kompromittierung. Huntress empfiehlt, die Backup-App und jede nicht verifizierbare ConnectWise- oder SkyKick-App zu deaktivieren statt zu löschen, sie deaktiviert zu lassen, bis ConnectWise das Zurücksetzen aller Anmeldedaten bestätigt, alle Anwendungen auf seit dem 13. Oktober hinzugefügte Anmeldedaten zu prüfen und unbeabsichtigte Verzeichnisrollen zu entfernen. Huntress warnte, dass das Deaktivieren einer App bereits platzierte Anmeldedaten nicht entfernt. Todyl sagte, die Deaktivierung stoppe neue Token, ausgestellte Token blieben aber bis zu 90 Minuten nutzbar, und das Widerrufen von Benutzersitzungen beende den App-basierten Zugriff nicht. Microsoft rät, Dienstprinzipal-Anmeldungen von unbekannten IP-Adressen, Änderungen an App-Anmeldedaten und mit der App verknüpfte OAuth-Berechtigungen zu prüfen.