ConnectWise hat den Partner- und Kundenzugriff auf den Cloud-Backup-Dienst, der früher als SkyKick Cloud Backup bekannt war, gestoppt, nachdem ein unbefugter Zugriff auf Anwendungsidentitäten festgestellt worden war, die zum Eindringen in Microsoft-365-Tenants verwendet wurden. Microsoft bezeichnete den Vorfall als aktiven Supply-Chain-Angriff, während Huntress angab, in seiner Umgebung mindestens 162 kompromittierte Tenants festgestellt zu haben.
Erste Aktivitätsindikatoren traten am 15. Oktober auf. Microsoft, Huntress und Todyl verfolgten Anmeldeversuche zu einer einzigen IP-Adresse: 144.172.64[.]128. Microsoft bestätigte, dass beim ConnectWise Cloud Backup unbefugte Authentifizierungsversuche stattgefunden hatten. ConnectWise erklärte unterdessen, den Anwendungszugriff auf seine Systeme gesperrt und mit der Untersuchung und Behebung begonnen zu haben.
Wie wurden die Backup-Berechtigungen ausgenutzt?
Der Microsoft-365-Backupdienst verwendet über Microsoft Entra ID erteilte Berechtigungen. Dabei repräsentiert eine als Service Principal bezeichnete Anwendungsidentität die Software innerhalb des Kundentenants. Laut den Forschern von Todyl authentifizierte sich der Angreifer direkt mit dem Anwendungsschlüssel und nutzte dabei die Berechtigungen, die Kunden dem Dienst zuvor erteilt hatten.
Für den Vorgang war keine Benutzeranmeldung erforderlich, weshalb die Multi-Faktor-Authentifizierung nicht ausreichte, um ihn zu verhindern. Die weitreichenden Berechtigungen ermöglichten technisch das Lesen und Schreiben von E-Mails und Anhängen, OneDrive- und SharePoint-Dateien sowie Teams-Chats. Bei neun von Todyl untersuchten Vorgängen fand das Unternehmen keine Hinweise auf die Erstellung von Konten, die Änderung von Passwörtern oder die Einrichtung einer Persistenz über die Backup-Anwendung.
Persistenzversuche und administrative Berechtigungen
Huntress stellte bei etwa 50 Tenants fest, dass ConnectWise-Cloud-Management-Anwendungen für Exchange Online, Microsoft Teams und Microsoft Graph sich selbst Verzeichnisrollen zugewiesen hatten. Besonders hervorzuheben war die Rolle Exchange Administrator. In einem Fall wies die Anwendung Cloud Management - MS Teams sich selbst die Rolle Global Administrator zu und fügte einer Anwendung zur Verwaltung von IT-Dienstleistern sowie einer Huntress-Anwendung Zugangsdaten hinzu.
Microsoft stellte nach der Authentifizierung der Anwendungsidentität ebenfalls Aktivitäten im Hintergrund fest. Darauf folgten Aufklärungsaktivitäten über Microsoft Graph und Versuche, neue Zugangsdaten hinzuzufügen. Microsoft zufolge könnte der Angreifer bestehende Berechtigungen ausgenutzt haben, darunter Directory.ReadWrite.All.
Was sollten Microsoft-365-Administratoren überprüfen?
ConnectWise empfiehlt, die Anmeldeprotokolle von Service Principals in Entra zu prüfen, die Ergebnisse anhand der Anwendungs-ID von Cloud Backup zu filtern und anschließend unerwartete Quelladressen zu überprüfen. Microsoft empfiehlt außerdem, Änderungen an Anwendungsanmeldeinformationen, OAuth-Erteilungen und die damit verbundene Graph-Aktivität zu prüfen.
Huntress warnt, dass das Deaktivieren der betroffenen Anwendungen nicht zwangsläufig die zuvor zum Tenant hinzugefügten Zugangsdaten entfernt. Daher sollten die Geheimnisse und Zertifikate aller Anwendungen auf nicht autorisierte Ergänzungen seit dem 13. Oktober überprüft werden. Todyl weist darauf hin, dass das Deaktivieren der Anwendung zwar die Ausstellung neuer Tokens verhindert, bestehende Tokens jedoch bis zu ihrem Ablauf nicht ungültig macht. Auch das Widerrufen von Benutzersitzungen stoppt keinen anwendungsbasierten Zugriff.
Huntress identifizierte die legitime Anwendungs-ID von Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae, sowie weitere Anwendungs-IDs von Cloud Management. Außerdem brachte das Unternehmen die Aktivität mit User-Agents wie curl/7.88.1, python-urllib/3.12, python-requests/2.31 und python-requests/2.34.2 in Verbindung.
Das Ausmaß des Schadens ist weiterhin unklar
ConnectWise erklärte, dass es bislang keine Hinweise auf einen Zugriff auf gespeicherte Backup-Daten gebe und die bestehenden Archive nach der Wiederherstellung des Dienstes weiterhin verfügbar sein würden. Die endgültige Zahl der Opfer, der Umfang der möglicherweise gestohlenen Daten und die Methode, mit der der Angreifer die Zugangsdaten des Anbieters erlangte, sind jedoch noch nicht geklärt. Auch die alleinige Abschaltung des Dienstes reicht nicht aus, um die Folgen des Angriffs innerhalb von Tenants zu beheben, denen möglicherweise neue Geheimnisse, Zertifikate oder Berechtigungen hinzugefügt wurden.