Ein Bericht von Rocket Boys schrieb einem Huntress-Update vom 17. Oktober Anmeldeaktivität in rund 1.000 Microsoft-Entra-Mandanten und mehr als 300 erfolgreiche Anmeldungen zu. Diese Zahlen erfassen Anmeldungen, nicht bestätigte Datendiebstähle. Rocket Boys’ Bericht ordnet die Werte einer Huntress-Aktualisierung zu.

Was die Anmeldezahlen erfassen

Huntress hatte für den 16. Oktober, 19:00 UTC, unbefugte Anmeldungen in 162 Mandanten gemeldet. Das ist ein eigener, früherer Beobachtungsstand. In der früheren NeoTeo-Berichterstattung zu widerrufenen Zertifikaten und Huntress’ 162-Mandanten-Meldung ging es um diesen Stand. Die später von Rocket Boys berichteten rund 1.000 Mandanten und mehr als 300 erfolgreichen Anmeldungen beschreiben eine andere Erhebung und sind ebenfalls keine Zahl bestätigter Datendiebstähle.

Wie die Cloud-Backup-App auf Microsoft 365 zugriff

Huntress zufolge wurde eine vom Anbieter gehaltene Zugangsinformation für die Anwendungsidentität von ConnectWise Cloud Backup missbraucht. Die App authentifizierte sich damit bei Microsoft Graph und nutzte Berechtigungen, die Administratoren zuvor im jeweiligen Mandanten genehmigt hatten. Dafür war keine interaktive Anmeldung eines Mitarbeiters nötig. Die übliche Mehr-Faktor-Authentifizierung für Benutzerkonten unterbrach diesen App-only-Zugriff daher nicht. Huntress beschreibt den Anmeldeweg und seine Beobachtungen.

Welche Ressourcen erreichbar waren, hing von den genehmigten Berechtigungen im jeweiligen Mandanten ab. Dazu konnten Postfächer, OneDrive, SharePoint, Teams und Verzeichnisdaten gehören. Die Anwendungs-ID von ConnectWise Cloud Backup lautet 506e08f9-6e9a-4da4-942b-a099a03644ae.

Ein separater Vorfall betraf Administratorrechte

Huntress berichtete außerdem von einem einzelnen Partnermandanten, in dem sich die separate Anwendung ConnectWise Cloud Management – MS Teams die Rolle Global Administrator zuwies und Clientgeheimnisse zu zwei weiteren Anwendungen hinzufügte. Huntress verknüpfte diese Abfolge nicht eindeutig mit dem Akteur hinter späteren Anmeldungen von der öffentlichen IP-Adresse. Die Teams-Anwendung ist eine andere Anwendung als ConnectWise Cloud Backup.

ConnectWise schaltete den App-Zugriff ab

Am 17. Oktober erklärte ConnectWise, den Zugriff der Cloud-Backup-Anwendung als Schutzmaßnahme abgeschaltet zu haben. Damit wurde der Dienst unterbrochen. In derselben Meldung im ConnectWise Trust Center erklärte das Unternehmen, bis zu diesem Zeitpunkt keine Hinweise auf eine Kompromittierung der gehosteten Partner-Backupdaten gefunden zu haben. Diese Aussage bezog sich auf die gespeicherten Cloud-Backup-Archive.

ConnectWise schaltet Cloud Backup nach Microsoft-365-Angriff ab