Gestohlener Backup-Schlüssel öffnet Hunderte Microsoft-365-Tenants
Angreifer haben einen Zugangsschlüssel von ConnectWise Cloud Backup (früher SkyKick) erbeutet und damit Microsoft-365-Umgebungen von Kunden betreten. In einem Fall machte sich eine App selbst zum Global Administrator. ConnectWise hat Backup und Verwaltung abgeschaltet. Was Firmen und IT-Dienstleister jetzt prüfen sollten.
Viele Firmen sichern ihre Microsoft-365-Daten über einen Dienstleister, und der bekommt dafür weitreichende Rechte im eigenen Tenant. Genau diese Rechte sind jetzt zum Einfallstor geworden: Angreifer haben einen Zugangsschlüssel von ConnectWise Cloud Backup, dem früheren SkyKick, erbeutet und damit Microsoft-365-Umgebungen von Kunden betreten. Der Sicherheitsanbieter Huntress hat den Fall am 16. Oktober öffentlich gemacht und seitdem mehrfach aktualisiert, The Register berichtete am 19. Oktober.
Was passiert ist
ConnectWise hat nach eigenen Angaben am 15. Oktober unbefugte Zugriffe auf „application identities within the ConnectWise Cloud Backup environment“ festgestellt und am 16. Oktober eine Warnung veröffentlicht. Laut Huntress geht es um ein Anmeldegeheimnis der Backup-App, das im Tenant des Anbieters selbst liegt. Das Problem: Dieses eine Geheimnis funktioniert in jedem Kunden-Tenant, in dem die App freigegeben ist.
Die Zahlen sind entsprechend groß. Huntress bestätigte bis zum Abend des 16. Oktober unbefugte Anmeldungen in 162 Tenants. Am 17. Oktober meldete das Unternehmen fast 1.000 Entra-Tenants mit Anmeldeaktivität von der Angreifer-IP, mehr als 300 davon erfolgreich. Huntress weist selbst darauf hin, dass die tatsächliche Zahl größer sein kann, weil es nur die eigenen Kunden sieht.
Eine App macht sich selbst zum Global Admin
Besonders heikel ist ein Fall aus einem einzelnen Kunden-Tenant: Dort hat sich die App „ConnectWise Cloud Management - MS Teams“ am frühen Morgen des 15. Oktober selbst die Rolle Global Administrator gegeben. Anschließend wurden zwei andere Apps mit neuen Zugangsdaten versehen, darunter eine Verwaltungs-App eines IT-Dienstleisters und die App von Huntress selbst. So sichern sich Angreifer einen Zugang, der auch dann bleibt, wenn die ursprüngliche Lücke geschlossen ist. In rund 50 weiteren beobachteten Tenants vergaben sich ConnectWise-Apps Verzeichnisrollen, meist Exchange-Administrator.
Schon am 13. und 14. Oktober gab es von derselben IP-Adresse Passwort-Spraying gegen vier Tenants von Anwaltskanzleien, laut Huntress ohne erfolgreiche Benutzeranmeldung. Ob alle Phasen auf dieselben Täter zurückgehen, ist offen.
Backup abgeschaltet, Daten angeblich sicher
ConnectWise hat Cloud Backup vom Netz genommen, dazu SaaS Security und Cloud Management, weil diese mit dem Backup verbunden sind. Laut The Register waren die Dienste am 18. Oktober um 16 Uhr UTC weiterhin nicht verfügbar. Kunden können damit derzeit weder sichern noch Archive abrufen oder Daten wiederherstellen. Die bestehenden Archive seien nicht betroffen, schreibt Jason Ferguson, bei ConnectWise Vice President für Security Operations, auf Reddit. Sie seien:
„encrypted, isolated, and preserved, with no evidence of unauthorized access“
Ob Daten aus den Microsoft-365-Umgebungen abgeflossen sind, ist nicht bestätigt. Huntress hat in dem genauer untersuchten Tenant keine Datenzugriffe im Audit-Log gefunden, merkt aber an, dass Lesezugriffe auf das Verzeichnis über Microsoft Graph dort keine Spuren hinterlassen.
Was Huntress rät
Die Empfehlungen sind deutlich: „Disable the application now, even if you see nothing unusual.“ Gemeint sind die ConnectWise- und SkyKick-Apps in Entra ID, und zwar deaktivieren, nicht löschen („Do not delete the application.“), damit Spuren erhalten bleiben. Wieder einschalten soll man sie erst, wenn ConnectWise bestätigt, dass alle Zugangsdaten erneuert sind. Wichtig ist der zweite Schritt: Das Abschalten entfernt keine Zugangsdaten, die Angreifer bereits an andere Apps gehängt haben. Deshalb sollen alle Unternehmensanwendungen und App-Registrierungen auf Geheimnisse und Zertifikate geprüft werden, die seit dem 13. Oktober hinzugekommen sind.
Was das für Ihr Unternehmen heißt
- Nachfragen beim Dienstleister: Wenn ein IT-Partner Ihr Microsoft 365 sichert oder verwaltet, fragen Sie heute nach, ob ConnectWise oder SkyKick im Spiel ist und ob Ihr Tenant geprüft wurde.
- Apps in Entra ID durchsehen: Unter Unternehmensanwendungen sehen Sie, welche fremden Apps welche Rechte haben. Alles, was Sie nicht zuordnen können, gehört auf den Prüfstand.
- Neue Geheimnisse suchen: Prüfen Sie im Audit-Log, ob Apps seit dem 13. Oktober neue Secrets oder Zertifikate bekommen oder sich selbst Rollen gegeben haben.
- Backup nicht nur an einer Stelle: Wer ausschließlich über einen Anbieter sichert, steht bei dessen Abschaltung ohne Wiederherstellung da. Eine zweite, unabhängige Sicherung kostet wenig im Vergleich.
- Rechte von Drittanbietern begrenzen: Backup- und Verwaltungs-Apps brauchen viel, aber selten Global Admin. Richtlinien für App-Verwaltung und bedingter Zugriff für Workload-Identitäten helfen, das einzugrenzen.
Das Muster ist nicht neu: Wer einen zentralen Schlüssel erbeutet, hat gleich viele Türen offen. Wir haben das kürzlich bei herrenlosen API-Schlüsseln für Agentenflotten gesehen, und auch der Ärger mit den Oktober-Updates für Exchange zeigt, wie sehr Microsoft-Umgebungen gerade Aufmerksamkeit brauchen.
Fazit
Der Fall ConnectWise ist ein Lieferkettenangriff wie aus dem Lehrbuch: Nicht der Kunde wurde geknackt, sondern der Dienstleister, dem er vertraut. Für Unternehmen heißt das vor allem, fremde Apps im eigenen Tenant genauso ernst zu nehmen wie eigene Admin-Konten. Wenn Sie Ihre Microsoft-365-Berechtigungen prüfen oder Ihr Backup breiter aufstellen wollen, sprechen Sie mich gern an.
