ConnectWise deaktiviert App-Identitäten nach Kompromittierung von Microsoft 365-Tenants

ConnectWise hat sieben seiner Anwendungsidentitäten deaktiviert und den Dienst Cloud Backup nach einem Sicherheitsvorfall ausgesetzt, bei dem Bedrohungsakteure unbefugten Zugriff auf diese Identitäten erlangten. Die am 14. Oktober 2026 identifizierte Schwachstelle ermöglichte es Angreifern, Microsoft 365-Tenants zu kompromittieren, die ConnectWise-Kunden gehören. Dies veranlasste den Anbieter von IT-Management-Software, sofortige Gegenmaßnahmen am 17. Oktober 2026 einzuleiten.

Was passiert ist

Am 17. Oktober 2026 um 07:00 UTC (koordinierte Weltzeit) ergriff ConnectWise entscheidende Maßnahmen, indem es sieben spezifische Anwendungsidentitäten deaktivierte und die Zertifikate für betroffene Anwendungskonten über alle Benutzer hinweg widerrief. Dieser Schritt führte effektiv zur Aussetzung des Cloud-Backup-Dienstes, stoppte geplante Backups und machte Wiederherstellungsfunktionen vorübergehend nicht verfügbar. Das Unternehmen erklärte, dass zwar vorhandene Backup-Archive verschlüsselt, isoliert und gesichert bleiben und keine Hinweise auf eine Kompromittierung vorliegen, die gemeinsamen Cloud-Backup-Zugangsdaten jedoch nicht mehr gültig sind. ConnectWise nahm zudem vorsorglich seine SaaS-Security- und Cloud-Management-Dienste vorübergehend offline, während die Untersuchung des Vorfalls fortgesetzt wird.

Zu den kompromittierten Anwendungsidentitäten gehören ConnectWise Cloud Backup sowie sechs Varianten von ConnectWise Cloud Management, die MS Teams, Exchange Online, MS Graph, Partner Center und SharePoint Online abdecken. ConnectWise betonte, dass das Deaktivieren dieser Verbindungen neue Authentifizierungen verhindert, aber keine Änderungen rückgängig macht, die zuvor innerhalb des Tenants eines Kunden vorgenommen wurden. Bereits ausgestellte Zugriffstoken können bis zum Ablaufdatum weiterhin nutzbar sein. Das bedeutet, dass unbefugte Zugangsdaten oder Berechtigungen, die über separate Identitäten eingerichtet wurden, einer zusätzlichen Überprüfung und Behebung durch die betroffenen Partner und Kunden bedürfen.

Wie es funktioniert

Dieser Vorfall verdeutlicht die Risiken im Zusammenhang mit Service-Principal-Zugangsdaten in Cloud-Umgebungen. Anstatt individuelle Benutzerpasswörter zu stehlen, erlangten die Angreifer die Zugangsdaten der Anwendungsidentitäten. Durch die Authentifizierung als die Anwendung selbst konnten die Bedrohungsakteure Zugriffstoken von Microsoft Entra ID anfordern, basierend auf den umfangreichen Berechtigungen, die ConnectWises Tools für Backup- und Verwaltungsaufgaben bereits erteilt worden waren. Diese Methode ermöglicht es einem Angreifer, die Multi-Faktor-Authentifizierungsschutzmechanismen zu umgehen, die typischerweise an Benutzerkonten gebunden sind.

Nach der Authentifizierung als die Anwendung könnten die Angreifer potenziell auf Postfächer, SharePoint-Dokumente, Teams-Nachrichten und Verzeichnisinformationen zugreifen. Noch kritischer ist, dass sie ihren Zugriff erweitern konnten, indem sie die kompromittierte Anwendung der Rolle „Global Administrator“ hinzufügten, neue Anwendungen erstellten und Client-Secrets zu anderen vertrauenswürdigen Anwendungen im Tenant hinzukopierten. Diese neuen Client-Secrets bieten eine persistente Hintertür, die es Angreifern ermöglicht, den Zugriff wiederzuerlangen, selbst wenn das ursprünglich kompromittierte Zugangsdatum widerrufen wird. Dieser Persistenzmechanismus macht die Behebung komplex, da ein einfaches Rotieren des ursprünglichen Passworts oder Zertifikats nicht ausreicht, wenn neue Secrets platziert wurden.

Wichtige Details

• ConnectWise hat am 17. Oktober 2026 sieben Anwendungsidentitäten deaktiviert, darunter Cloud Backup und verschiedene Cloud-Management-Dienste.
• Das Problem wurde am 14. Oktober 2026 durch internes Cybersecurity-Monitoring identifiziert, wobei der genaue Mechanismus der Offenlegung der Zugangsdaten noch analysiert wird.
• Huntress beobachtete böswillige Anmeldungen von der IP-Adresse "144.172.64[.]128" und bestätigte den Missbrauch der Teams-App in mindestens einem Tenant.
• Eine zweite Welle gezielter Versuche fand am 15. Oktober statt, konzentrierte sich auf 16 Tenants in den Bereichen Politik, nationale Sicherheit und kritische Mineralien, war jedoch erfolglos.
• Von nahezu 1.000 Entra-Tenants mit Anmeldeaktivität von der verdächtigen IP waren 300 erfolgreich, obwohl einige aufgrund des Fehlens eines Service Principals blockiert wurden.
• Bestehende Backup-Archive werden als verschlüsselt und unberührt gemeldet, aber geplante Backups sind derzeit gestoppt.

Warum das wichtig ist

Für Softwareentwickler und IT-Leiter, die Microsoft 365-Umgebungen verwalten, unterstreicht dieser Vorfall die kritische Bedeutung der Absicherung von Service Principals und Anwendungs-Berechtigungen. Im Gegensatz zu benutzerzentrierten Angriffen gewährt die Kompromittierung einer Anwendungsidentität breiten, automatisierten Zugriff, der ohne rigorose Audit-Protokollierung schwer zu erkennen ist. Die Fähigkeit der Angreifer, neue Client-Secrets zu platzieren, bedeutet, dass Vertrauensgrenzen innerhalb des Tenants dauerhaft verändert werden können, was eine gründliche Überprüfung aller Anwendungsregistrierungen und Consent-Gewährungen erfordert.

Die Lieferketten-Natur dieses Angriffs zeigt auch, wie Schwachstellen in Tools für Managed Service Provider auf Hunderte von nachgelagerten Kunden übergreifen können. Selbst wenn eine Produkt-Schwachstelle die Kompromittierung nicht direkt verursacht hat, schaffen die umfangreichen Berechtigungen, die Verwaltungs-Tools erteilt werden, ein lohnendes Ziel. Organisationen müssen davon ausgehen, dass jede Anwendung mit hohen Privilegien ein Vektor für laterale Bewegung sein könnte, was strengere Kontrollen darüber erfordert, wer Anwendungs-Zugangsdaten verwalten darf und wie diese Daten gespeichert und rotiert werden.

Was Sie tun können

• Überprüfen Sie die Anmeldeprotokolle für Ihren Microsoft 365-Tenant und alle verwalteten Kunden-Tenants ab dem 13. Oktober 2026, insbesondere gefiltert nach Aktivitäten von der IP-Adresse "144.172.64[.]128".
• Verifizieren Sie den Status der sieben deaktivierten ConnectWise-Anwendungsidentitäten und stellen Sie sicher, dass sie deaktiviert bleiben, bis weitere Anweisungen vom Anbieter vorliegen.
• Bewahren Sie alle verfügbaren Anmelde- und Audit-Datensätze auf, bevor Sie Eindämmungs- oder Bereinigungsschritte einleiten, um die forensische Integrität zu wahren.
• Prüfen Sie Anwendungs-Zugangsdaten, Föderationsvertrauensstellungen, Verzeichnisrollen und kürzliche Richtlinienänderungen, um unbefugte Hinzufügungen oder Modifikationen zu identifizieren.
• Suchen Sie nach unbefugten Weiterleitungsregeln für Postfächer, Eingangsregeln, Transportregeln und delegiertem Postfachzugriff, die möglicherweise während der Kompromittierung erstellt wurden.
• Implementieren Sie Richtlinien für das Anwendungsmanagement, um Client-Secrets bei App-Registrierungen einzuschränken und die Lebensdauer der Zugangsdaten zu begrenzen, um das Zeitfenster für Angreifer zu minimieren.