Ein Lieferkettenangriff auf ConnectWise hat Microsoft-365-Mandanten über vertrauenswürdige Anwendungsidentitäten kompromittiert, die von den Cloud-Diensten des Unternehmens verwendet werden. Das Sicherheitsunternehmen Huntress identifizierte mindestens 162 betroffene Mandanten innerhalb seiner Überwachungsumgebung.
ConnectWise setzte den Zugriff von Kunden und Partnern auf Cloud Backup, ehemals SkyKick Cloud Backup, aus, während das Unternehmen den unbefugten Zugriff auf Anwendungsidentitäten untersucht. Das Unternehmen erklärte jedoch, dass es keine Hinweise darauf gefunden habe, dass Angreifer gespeicherte Sicherungsdaten kompromittiert hätten.
Auch Microsoft bestätigte bösartige Aktivitäten im Zusammenhang mit dem Dienst. Die Gesamtzahl der Opfer, das Ausmaß des Datendiebstahls und die Herkunft der gestohlenen Zugangsdaten bleiben unklar.
Angreifer nutzten vertrauenswürdige Anwendungsberechtigungen aus
ConnectWise Cloud Backup verwendet Anwendungsidentitäten in Microsoft Entra ID, sogenannte Dienstprinzipale (Service Principals), um auf Kundenumgebungen zuzugreifen. Diese Identitäten ermöglichen es dem Dienst, Daten mithilfe von Berechtigungen zu sichern, die Kunden zuvor genehmigt haben.
Laut Forschern von Todyl authentifizierte sich der Angreifer mithilfe des geheimen Schlüssels der Backup-Anwendung. Dadurch erhielt der Angreifer die Berechtigungen, über die die Anwendung bereits verfügte.
Diese Berechtigungen konnten den Zugriff auf E-Mails, Anhänge, OneDrive-Dateien, SharePoint-Inhalte und Teams-Chats ermöglichen. Die Möglichkeit, auf diese Ressourcen zuzugreifen, bedeutet jedoch nicht, dass die Angreifer sämtliche verfügbaren Daten gestohlen haben.
Die Aktivitäten erfolgten über eine Anwendungsauthentifizierung statt über eine interaktive Benutzeranmeldung. Daher konnten benutzerbezogene Schutzmaßnahmen wie die Multifaktor-Authentifizierung diese Anmeldungen nicht verhindern.
Ermittler berichten über unterschiedliche Ausmaße der Angriffe
Todyl untersuchte neun Microsoft-365-Mandanten und stellte unbefugte Anmeldeaktivitäten fest. In diesen Umgebungen fanden die Forscher keine Hinweise auf die Erstellung von Konten, Passwortänderungen, zusätzliche Berechtigungen oder die Einrichtung eines dauerhaften Zugriffs über die Backup-Anwendung.
Huntress beobachtete jedoch an anderer Stelle umfangreichere Aktivitäten. In fast 50 überwachten Mandanten wiesen sich Dienstprinzipale von ConnectWise Cloud Management selbst Verzeichnisrollen zu, am häufigsten die Rolle Exchange Administrator.
In einem Mandanten nutzten die Angreifer die Verwaltungsanwendung für MS Teams, um Global-Administrator-Berechtigungen zu erlangen. Anschließend fügten sie einem MSP-Verwaltungstool und der Anwendung von Huntress Zugangsdaten hinzu und richteten so innerhalb von etwa fünf Minuten einen dauerhaften Zugriff ein.
Microsoft berichtete unabhängig davon über Aktivitäten zur Aufrechterhaltung des Zugriffs nach erfolgreicher Authentifizierung über Dienstprinzipale. Zu den Erkenntnissen gehörten Erkundungsaktivitäten über Microsoft Graph sowie Versuche, weitere Zugangsdaten hinzuzufügen.
Diese Unterschiede zeigen, dass die beobachteten Auswirkungen zwischen den einzelnen Mandanten variierten.
Verdächtige Aktivitäten reichen bis zum 13. Oktober zurück
Microsoft identifizierte am 15. Oktober unbefugte Authentifizierungsversuche von der IP-Adresse 144.172.64[.]128. Huntress und Todyl brachten bösartige Aktivitäten mit derselben Adresse in Verbindung.
Huntress entdeckte außerdem damit verbundene skriptgesteuerte Anmeldeversuche vom 13. und 14. Oktober. Diese Anfragen verwendeten den User-Agent curl/7.88.1.
Die Forscher identifizierten außerdem drei Python-User-Agents, die mit den Aktivitäten in Verbindung standen:
python-urllib/3.12python-requests/2.31python-requests/2.34.2
Microsoft bezeichnete den Vorfall als aktiven Lieferkettenangriff. Das Unternehmen ging davon aus, dass der Angreifer wahrscheinlich bestehende Berechtigungen missbrauchte, darunter Directory.ReadWrite.All.
Administratoren sollen verbundene Anwendungen überprüfen
ConnectWise empfiehlt, die Anmeldeprotokolle von Dienstprinzipalen in Entra zu überprüfen. Administratoren sollten nach der Anwendungs-ID von Cloud Backup filtern und unerwartete Quelladressen untersuchen.
Darüber hinaus empfiehlt Microsoft, Änderungen an Anwendungszugangsdaten, OAuth-Berechtigungsfreigaben und damit verbundene Aktivitäten in Microsoft Graph zu kontrollieren.
Huntress empfiehlt, die betroffenen Anwendungen zu deaktivieren und weitere Cloud-Management-Integrationen zu überprüfen. In älteren Mandanten können diese Dienste unter dem Namen SkyKick Cloud Manager erscheinen.
Die folgenden Anwendungen wurden zur Überprüfung identifiziert:
| Anwendung | Anwendungs-ID |
|---|---|
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management – MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management – Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management – MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management – Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management – SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Abschaltung des Dienstes beseitigt keinen bestehenden Zugriff
Der Lieferkettenangriff auf ConnectWise erfordert Überprüfungen, die über die betroffenen Anbieteranwendungen hinausgehen. Die Abschaltung des Dienstes entfernt keine Zugangsdaten, die Angreifer möglicherweise an anderen Stellen in den Microsoft-365-Mandanten der Kunden hinzugefügt haben.
Daher empfiehlt Huntress, geheime Schlüssel und Zertifikate sämtlicher Anwendungen auf unbefugte Ergänzungen seit dem 13. Oktober zu überprüfen. Administratoren sollten alle entsprechenden Einträge entfernen, die sie identifizieren.
Todyl warnt außerdem davor, dass die Deaktivierung einer Anwendung zwar die Ausstellung neuer Token verhindert, bestehende Token jedoch nicht sofort ungültig macht. Diese können bis zu ihrem Ablauf weiterhin verwendet werden, während der Widerruf von Benutzersitzungen den anwendungsbasierten Zugriff nicht beendet.
ConnectWise gab die Dienstunterbrechung am 17. Oktober um 05:01 Uhr UTC bekannt, ohne einen Zeitplan für die Wiederherstellung zu nennen. Das Unternehmen erklärte, dass bestehende Backup-Archive von der Unterbrechung nicht betroffen seien und nach der Wiederaufnahme des Dienstes wieder zugänglich würden.
0 Kommentare zu „Lieferkettenangriff auf ConnectWise führt zur Kompromittierung von Microsoft 365“