ConnectWise meldet am 17. Oktober, betroffene Zertifikate widerrufen und gemeinsame Cloud-Backup-Zugangsdaten für ungültig erklärt zu haben. Die Archive sind laut diesem Update erhalten, aber nicht zugänglich und nicht wiederherstellbar; außerdem kann ConnectWise nicht feststellen, ob einzelne Microsoft-365-Tenants unbefugte Aktivitäten erlebt haben. Die Mitteilung des Unternehmens trennt damit den Zustand der gespeicherten Backups klar von möglichen Vorgängen in den Live-Umgebungen seiner Kunden.
Was in den Microsoft-365-Tenants geschah
Huntress beobachtete am 15. Oktober unbefugte Anmeldungen der Anwendung ConnectWise Cloud Backup. Solche App-Anmeldungen laufen über eine Anwendungsidentität – einen sogenannten Service Principal – und nicht über das Konto eines menschlichen Nutzers. Die in diesem Vorfall beschriebene Anmeldung erforderte daher keine Benutzeranmeldung und keine MFA-Abfrage für einen Mitarbeiter. Bis zum 16. Oktober um 19 Uhr UTC zählte Huntress solche Anmeldungen in 162 Tenants. Diese Zahl beschreibt Huntress’ eigene Beobachtungen zu diesem Zeitpunkt. Huntress’ Untersuchung nennt für ConnectWise Cloud Backup die App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
Microsoft Threat Intelligence bezeichnete die Aktivität in einem englischsprachigen Beitrag als aktiven Angriff über die Lieferkette.
Huntress beobachtete außerdem, dass ConnectWise-Cloud-Management-Anwendungen in knapp 50 überwachten Tenants Verzeichnisrollen zuwiesen, meist die Rolle „Exchange Administrator“. In einem Tenant setzte sich die separate Anwendung ConnectWise Cloud Management - MS Teams die Rolle „Global Administrator“ und fügte Geheimnisse für Clientanwendungen zu zwei weiteren Apps hinzu. Die Abfolge dauerte etwa fünf Minuten. Huntress nennt für diese Anwendung die App-ID 24205314-2b89-4e07-a2a4-579e898a5640.
Die beiden Anwendungen sind nicht dieselbe: Cloud Backup war an den beobachteten Anmeldungen beteiligt; die gemeldete Rollenvergabe und die Änderungen an Anmeldedaten betrafen Cloud Management - MS Teams. In einem Reddit-Thread von MSP-Administratoren äußerten sich Beteiligte besorgt über ältere Drittanbieter-Integrationen, die in Tenants weiter Zugriff haben könnten.
Warum sich manche Lesezugriffe nicht zuordnen ließen
Todyl berichtet aus überwachten Tenants mit aktivem Backup-Abonnement von Leseaktivitäten, die sich nicht zuverlässig dem Angreifer oder dem legitimen Backup-Betrieb zuordnen ließen. Beide liefen über dieselbe Anwendungsidentität. In diesen Tenants wurden zudem keine Microsoft-Graph-Aktivitätsprotokolle mit der Quell-IP-Adresse einzelner Anfragen erfasst. Dadurch fehlte ein Merkmal, das bei der Zuordnung einzelner Zugriffe helfen konnte. Todyls Untersuchung unterscheidet diese Fälle von überwachten Tenants ohne aktives Abonnement: Dort fand Todyl nach der Token-Ausstellung keine Leseereignisse für Postfächer oder Dateien.
Was die Unterbrechung für Backups bedeutete
In seinem Update vom 17. Oktober meldet ConnectWise, die Zertifikate für betroffene Verbindungen widerrufen und gemeinsame Cloud-Backup-Zugangsdaten ungültig gemacht zu haben. Die verschlüsselten Archive seien isoliert und erhalten, aber zu diesem Zeitpunkt weder zugänglich noch wiederherstellbar gewesen. Während der Unterbrechung liefen auch geplante Backup-Aufträge nicht. Der Anbieter erklärte außerdem, seine Untersuchung könne nicht feststellen, ob in einem bestimmten Kunden-Tenant unbefugte Aktivitäten stattgefunden hatten.
Wer die Anmeldungen prüfen möchte, findet sie im Microsoft Entra Admin Center unter Überwachung > Anmeldeprotokolle > Dienstprinzipal-Anmeldungen. ConnectWise empfiehlt, dort nach der Cloud-Backup-App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae zu filtern; der Bereich für Benutzeranmeldungen zeigt diese Anwendungsanmeldungen nicht an.
