BEDROHUNG
Nach einem Sicherheitsvorfall bei ConnectWise erlangten Angreifer über kompromittierte Anwendungszugangsdaten des Cloud-Backup-Dienstes (ehemals SkyKick) unberechtigten Zugriff auf Microsoft-365-Umgebungen. Das Security-Unternehmen Huntress bestätigte erfolgreiche Anmeldungen in knapp 1000 Tenants. Die betroffenen Dienste wurden von ConnectWise vorsorglich deaktiviert.
Nach Informationen von Huntress und Todyl verwendeten die Angreifer kompromittierte Zugangsdaten einer legitimen ConnectWise-Anwendung, um sich über deren Service Principal direkt bei Microsoft Entra ID zu authentifizieren. Da die Anwendung bereits über weitreichende Berechtigungen in den jeweiligen Kundenumgebungen verfügte, erhielten die Angreifer Microsoft-Graph-Access-Tokens mit denselben Berechtigungen. Diese ermöglichen unter anderem den Zugriff auf E-Mails, OneDrive- und SharePoint-Dateien sowie Teams-Daten. Eine Multi-Faktor-Authentifizierung (MFA) wurde dabei nicht abgefragt, da die Anmeldung über eine Anwendungsidentität und nicht über ein Benutzerkonto erfolgte.
Die beobachteten Anmeldungen erfolgten unter anderem von der IP-Adresse 144.172.64[.]128. Huntress dokumentierte außerdem, dass sich in einem Tenant eine ConnectWise-Cloud-Management-Anwendung selbst die Rolle des Global Administrators zuwies und zusätzliche Zugangsdaten für zwei weitere Anwendungen hinterlegte. Dadurch könnten Angreifer auch nach der Sperrung der ursprünglich kompromittierten Zugangsdaten weiterhin Zugriff auf betroffene Umgebungen behalten.
ConnectWise bestätigte den unbefugten Zugriff auf Anwendungsidentitäten und deaktivierte sieben betroffene Anwendungen. Zusätzlich wurden die verwendeten Zertifikate widerrufen und der Cloud-Backup-Dienst vorübergehend eingestellt. Nach Unternehmensangaben gibt es bislang keine Hinweise auf eine Kompromittierung gespeicherter Backups. Ob und in welchem Umfang Daten aus den betroffenen Microsoft-365-Umgebungen entwendet wurden, ist weiterhin unklar. Administratoren wird deshalb empfohlen, auch bereits länger ungenutzte SkyKick-Integrationen auf verdächtige Aktivitäten zu untersuchen.
Was jetzt zu tun ist:
- Deaktivierung betroffener ConnectWise-/SkyKick-Anwendungen in Microsoft Entra ID überprüfen
- Service-Principal-Sign-in-Logs seit dem 13. Oktober auf verdächtige Anmeldungen prüfen (bes. von 144.172.64[.]128)
- Administratorrollen, OAuth-Berechtigungen sowie neu hinzugefügte Secrets und Zertifikate prüfen und gegebenenfalls entfernen
Autor: Michael Niers
