ConnectWise setzt Cloud-Backup-Dienste nach Verletzung der Anwendungsidentitäten aus

ConnectWise hat seinen Cloud Backup-Dienst ausgesetzt und eine breite Zurücksetzung von Anmeldedaten eingeleitet, nachdem unbefugter Zugriff auf Anwendungsidentitäten erkannt wurde. Das Unternehmen begann am 17. Oktober 2026, drei Tage nach der ersten Identifizierung des Sicherheitsvorfalls, mit der Umsetzung von Gegenmaßnahmen. Diese Reaktion umfasst die Deaktivierung betroffener Verbindungen und die Beauftragung externer Spezialisten zur Steuerung des Bereinigungsprozesses.

Was passiert ist

Der Sicherheitsvorfall richtete sich gezielt gegen Anwendungsidentitäten, die mit ConnectWise Cloud Backup verknüpft sind. Als Reaktion darauf deaktiviert ConnectWise die betroffenen Anwendungsverbindungen und setzte den Cloud Backup-Dienst vollständig aus. Als Vorsichtsmaßnahme wurden auch zwei weitere integrierte Dienste ausgesetzt: SaaS Security und Cloud Management. Diese Aussetzungen bleiben bestehen, während das Unternehmen die Wirksamkeit seiner Eindämmungsmaßnahmen überprüft.

ConnectWise gab an, dass es die Schutzmechanismen für administrative Zugriffe verstärkt, Konten zurückgesetzt und Anwendungsanmeldedaten ersetzt habe. Das Unternehmen betonte, dass es keine erfolgreichen Bedrohungsaktivitäten in den von ihm direkt überwachten Umgebungen festgestellt habe. Es stellte jedoch klar, dass diese Beobachtung nicht garantiert, dass einzelne Partner- oder Kunden-Microsoft 365-Tenants nicht betroffen sind. ConnectWise forderte Partner auf, jeden potenziell betroffenen Tenant individuell zu überprüfen, bevor Anwendungen wieder verbunden werden.

Das unabhängige Cybersicherheitsunternehmen Huntress lieferte zusätzlichen Kontext, indem es Indikatoren für Kompromittierungen (IoCs) teilte, die im Zusammenhang mit dieser Aktivität beobachtet wurden. Huntress-Forscher überprüften Anmeldeversuche von Anwendungen in mehr als 10.000 Tenants, die ConnectWise-Anwendungen nutzten. Sie identifizierten spezifische IP-Adressen, die mit dem Vorfall in Verbindung standen, und stellten fest, dass nur eine Adresse tatsächliche Anwendungsanmeldungen erzeugte, während andere mit Passwort-Spray-Angriffen assoziiert waren, die möglicherweise nichts damit zu tun haben.

Wie es funktioniert

Der Angriffsvektor umfasste den unbefugten Zugriff auf Anbieter-Anmeldedaten, was es dem Angreifer ermöglichte, Anwendungsanmeldungen durchzuführen. Laut Huntress war die primäre IP-Adresse, die mit diesen Anwendungsanmeldungen in Verbindung stand, 144.172.64[.]128. Sobald sie sich innerhalb eines Tenants befanden, folgten die Angreifer einem konsistenten Vorgehen. Die kompromittierte Anwendung verschaffte sich selbst Global Administrator-Rechte, eine hochrangige Berechtigung, die umfassende Kontrolle über die Microsoft 365-Umgebung bietet.

Nach der Eskalation der Rechte fügten die Angreifer neue Secrets zu einer kleinen Anzahl anderer Anwendungen hinzu, die innerhalb des Tenants registriert waren. Diese Technik stellt die Persistenz sicher und ermöglicht es dem Angreifer, den Zugriff aufrechtzuerhalten, selbst wenn der ursprüngliche Einstiegspunkt entdeckt und geschlossen wird. Huntress merkte an, dass die Auswahl der Anwendungen, die als Hintertür dienten, zufällig wirkte, ohne Rücksicht darauf, was diese Anwendungen tatsächlich tun konnten. Das einzige konsistente Kriterium war struktureller Natur: Anmeldedaten wurden in Anwendungen platziert, die innerhalb des betroffenen Tenants registriert waren.

Obwohl die Angreifer diesen Zugriff wahrscheinlich nutzten, um Verzeichnisdaten über Microsoft Graph zu lesen, gibt es derzeit keine Hinweise darauf, dass sie den Zugriff für Mailbox-Manipulationen, Datendiebstahl oder Richtlinienänderungen missbraucht haben. Andere IP-Adressen im selben Provider-Bereich wurden dabei beobachtet, wie sie breite Passwort-Spray-Angriffe durchführten, aber Huntress kam zu dem Schluss, dass diese wahrscheinlich nicht mit der spezifischen Anwendungsanmelde-Aktivität zusammenhingen, die auf ConnectWise-Identitäten abzielte.

Wichtige Details

• ConnectWise begann am 17. Oktober 2026 um 5:00 Uhr UTC mit Gegenmaßnahmen, drei Tage nach der Identifizierung des Vorfalls.
• Die Dienste Cloud Backup, SaaS Security und Cloud Management sind derzeit vorsorglich ausgesetzt.
• Der primäre Indikator für Kompromittierung bei Anwendungsanmeldungen ist die IP-Adresse 144.172.64[.]128.
• Angreifer eskalierten ihre Rechte, indem sie der kompromittierten Anwendung Global Administrator-Rechte gewährten.
• Persistenz wurde erreicht, indem neue Secrets zu anderen zufällig ausgewählten Anwendungen innerhalb des Tenants hinzugefügt wurden.
• ConnectWise hat technische Leitlinien veröffentlicht, um Partnern bei der Untersuchung potenzieller unbefugter Aktivitäten zu helfen.

Warum das wichtig ist

Dieser Vorfall unterstreicht die Risiken, die inhärent in Lieferkettenabhängigkeiten liegen, insbesondere wenn Managed Service Provider (MSPs) Hochprivilegierten-Zugriff auf Kundenumgebungen haben. Für IT-Leiter und Sicherheitsexperten ist die Kompromittierung von Anwendungsidentitäten besonders besorgniserregend, da sie traditionelle benutzerzentrierte Sicherheitskontrollen wie Multi-Faktor-Authentifizierung umgeht. Wenn eine Anwendungsidentität kompromittiert wird, operiert der Angreifer mit den Berechtigungen, die diesem Dienstkonto gewährt wurden – in diesem Fall einschließlich der Fähigkeit, zum Global Administrator aufzusteigen.

Die Aussetzung kritischer Dienste wie Cloud Backup und SaaS Security demonstriert die betrieblichen Auswirkungen solcher Verletzungen. Organisationen, die auf diese Tools für Datenschutz und Sicherheitsüberwachung angewiesen sind, müssen nun einen Zeitraum mit reduzierter Sichtbarkeit und Resilienz bewältigen. Darüber hinaus verlagert die Warnung von ConnectWise, dass einzelne Tenants weiterhin betroffen sein könnten, die Last der Untersuchung auf die Schultern der Partner und Kunden. Dies erfordert erheblichen Aufwand, um Beweise zu sichern, Erkenntnisse zu validieren und betriebliche Auswirkungen zu bewerten, bevor Dienste wiederhergestellt werden.

Was Sie tun können

• Überprüfen Sie die von ConnectWise veröffentlichten technischen Leitlinien, um potenzielle unbefugte Aktivitäten in Ihrer Umgebung zu untersuchen.
• Sichern Sie relevante Beweise und validieren Sie Ihre Erkenntnisse, bevor Sie Änderungen an Ihrem Microsoft 365-Tenant vornehmen.
• Prüfen Sie Ihre Protokolle auf Anwendungsanmeldungen von der IP-Adresse 144.172.64[.]128.
• Verbinden Sie betroffene Anwendungen nicht erneut, bis ConnectWise formale Wiederherstellungsanweisungen bereitstellt.
• Auditiere Sie Ihren Tenant auf unbekannte Secrets, die zu registrierten Anwendungen hinzugefügt wurden, insbesondere solche mit hohen Berechtigungen.
• Bewerten Sie die betrieblichen Auswirkungen der ausgesetzten Cloud Backup- und SaaS Security-Dienste auf Ihre Pläne für die Geschäftskontinuität.