ConnectWise-Sicherheitsverletzung betrifft über 300 Organisationen, während Angreifer dauerhaften Zugriff einrichten

Die ConnectWise-Sicherheitsverletzung hat mehr als 300 Organisationen betroffen, nachdem Angreifer Anmeldedaten für den Cloud Backup-Dienst des Unternehmens gestohlen hatten. Der Vorfall ermöglichte unbefugten Zugriff auf Microsoft 365-Umgebungen und gefährdete damit potenziell E-Mails, Dokumente und Verzeichnisinformationen.

Huntress entdeckte verdächtige Anmeldeaktivitäten bei fast 1.000 Microsoft Entra-Kundenkonten, darunter mehr als 300 erfolgreiche Eindringversuche. Die Ermittler haben jedoch keinen Datendiebstahl bestätigt. Zudem bleibt die Gesamtzahl der betroffenen Organisationen und Nutzer unbekannt.

In einem untersuchten Fall fügten die Angreifer außerdem Anmeldedaten zu weiteren Anwendungen hinzu. Diese Zugangsdaten hatten Ablaufdaten im Jahr 2028 und schufen damit eine potenzielle Möglichkeit, erneut auf die Umgebung zuzugreifen.

Gestohlene Backup-Anmeldedaten ermöglichten Zugriff auf Kundenumgebungen

ConnectWise Cloud Backup, früher unter dem Namen SkyKick bekannt, unterstützt Managed Service Provider bei der Sicherung der Microsoft 365-Daten ihrer Kunden. Daher benötigt der Dienst Anwendungsberechtigungen, die den Zugriff auf verschiedene verbundene Unternehmensumgebungen ermöglichen.

Laut Microsoft Threat Intelligence nutzten die Angreifer Berechtigungen aus, die Kunden der vertrauenswürdigen Anwendung bereits erteilt hatten. Dazu gehörte Directory.ReadWrite.All, das Teil der Zugriffsrechte der kompromittierten Identität war.

Mithilfe der gestohlenen Anmeldedaten der Anwendung verschafften sich die Angreifer Zugriffstoken für die Microsoft 365-Mandanten der Kunden. Die Berechtigungen der Anwendung umfassten Exchange-Postfächer, OneDrive, SharePoint, Teams und Unternehmensverzeichnisse.

Dadurch konnten potenziell vertrauliche Kommunikation und Unternehmensdateien offengelegt werden. Die Möglichkeit, auf diese Informationen zuzugreifen, bedeutet jedoch nicht, dass die Angreifer sie tatsächlich kopiert haben.

Angreifer fügten Anmeldedaten zu weiteren Anwendungen hinzu

Huntress führte die ersten Aktivitäten auf den 15. Oktober zurück, als sich die Angreifer über die IP-Adresse 144.172.64.128 authentifizierten. Anschließend sendeten sie innerhalb weniger Sekunden automatisierte Anfragen an verschiedene Kundenumgebungen.

In einem Fall erhöhte die kompromittierte Anwendung ihre Berechtigungen auf Global Administrator. Danach fügte sie Anmeldedaten zu zwei weiteren Anwendungen hinzu: einem MSP-Verwaltungstool und der Sicherheitsplattform Huntress.

Diese neuen Anmeldedaten könnten bis 2028 gültig bleiben, sofern Administratoren sie nicht widerrufen oder ihre Verwendung anderweitig blockieren. Daher beseitigt die Deaktivierung der ursprünglichen ConnectWise-Anwendung möglicherweise nicht alle Zugriffswege, die die Angreifer geschaffen haben.

Die Entdeckung verdeutlicht ein zentrales Problem der ConnectWise-Sicherheitsverletzung: Angreifer konnten eine vertrauenswürdige Integration nutzen, um über andere Integrationen weiteren Zugriff einzurichten.

Zweite Angriffswelle konzentrierte sich auf sensible Sektoren

Huntress identifizierte außerdem eine separate Welle gezielter Angriffsversuche auf 16 Microsoft 365-Mandanten. Diese Organisationen waren in den Bereichen Politikgestaltung, nationale Sicherheit, Handel und kritische Mineralien tätig.

Die Versuche betrafen mehrere Microsoft-Dienste, darunter Exchange Online, SharePoint, Teams, Entra und Azure Resource Manager. Huntress berichtete jedoch, dass diese zweite Angriffswelle erfolglos blieb.

Die gezielten Aktivitäten liefern zusätzliche Erkenntnisse für die Untersuchung. Sie belegen jedoch keine weiteren erfolgreichen Kompromittierungen bei diesen Organisationen.

ConnectWise setzte Dienste aus und deaktivierte Identitäten

Am 17. Oktober deaktivierte ConnectWise sieben Anwendungsidentitäten und setzte die Dienste Cloud Backup, SaaS Security und Cloud Management aus.

Mit Stand vom 19. Oktober waren Backups, Archive und die Sicherheitsüberwachung weiterhin nicht verfügbar. Das Unternehmen hatte noch nicht bestätigt, wann es diese Dienste wiederherstellen würde.

Gleichzeitig erklärte ConnectWise, seit dem 17. Oktober um 05:00 Uhr UTC keine erfolgreichen Angreiferaktivitäten mehr in den überwachten Umgebungen festgestellt zu haben. Das Unternehmen berichtete außerdem, dass es keine Hinweise darauf gebe, dass Angreifer auf verschlüsselte Backup-Archive zugegriffen hätten.

Diese Aussage bezieht sich ausdrücklich auf die Backup-Archive. Sie beantwortet nicht alle Fragen zu den Aktivitäten innerhalb der betroffenen Microsoft 365-Mandanten.

Bereits vorgenommene Änderungen in Kundenumgebungen bleiben ein Problem

ConnectWise räumte ein, dass die Deaktivierung betroffener Verbindungen eine erneute Authentifizierung über diese Verbindungen verhindert. Die Maßnahme macht jedoch keine Änderungen rückgängig, die Angreifer zuvor innerhalb der Kundenumgebungen vorgenommen haben.

Für betroffene Organisationen geht die weitere Untersuchung daher über die ursprüngliche Anwendung hinaus. Sicherheitsteams müssen feststellen, ob die Angreifer Berechtigungen geändert, Konfigurationen angepasst oder an anderer Stelle zusätzliche Anmeldedaten hinterlegt haben.

Auch Kasper Lingaard, Sicherheitsstratege bei CoreView, forderte Unternehmen dazu auf, mögliche Mechanismen für dauerhaften Zugriff innerhalb ihrer Microsoft 365-Mandanten zu untersuchen.

Bislang hat Huntress keine Exfiltration von Unternehmensdaten bestätigt. Auch die Zahl der Personen, deren Informationen möglicherweise offengelegt wurden, bleibt weiterhin unbekannt.