Das Unternehmen ConnectWise hat die Aussetzung einer Reihe seiner zentralen Cloud-Dienste bekannt gegeben, darunter Cloud Backup, SaaS Security und Cloud Management. Hintergrund ist die Entdeckung unsicherer Aktivitäten, bei denen Angreifer kompromittierte Anmeldeinformationen ausnutzten, um sich Zugriff auf Kundenumgebungen auf der Plattform Microsoft 365 zu verschaffen.
Ablauf der Ereignisse und betroffene Dienste
Die Krise begann, als das Unternehmen unbefugte Aktivitäten innerhalb der Cloud-Backup-Umgebung feststellte. Dies veranlasste es, den zuvor als SkyKick bekannten Dienst am 17. Oktober, etwa zwölf Stunden nach Beginn der Untersuchungen, abzuschalten. Mit der Ausweitung der Untersuchung beschloss das Unternehmen am folgenden Tag, auch die Dienste SaaS Security und Cloud Management vorsorglich zu stoppen, um Schutzmaßnahmen umzusetzen und mögliche Auswirkungen zu mindern.
Diese präventive Maßnahme führte zu Störungen bei den Backup-Zeitplänen, dem Zugriff auf Archive und den Wiederherstellungsprozessen. Zudem waren die Überwachung und Benachrichtigungen für SaaS Security sowie die Benutzer- und Lizenzverwaltung betroffen. Das Unternehmen hat bislang keinen genauen Zeitplan für die vollständige Wiederkehr der Dienste vorgelegt, aber technische Leitlinien veröffentlicht, um Managed Service Provider (MSPs) dabei zu unterstützen, ihre Umgebungen zu überprüfen und abzusichern.
Art des Einbruchs und die Rolle von Huntress
Das Cybersecurity-Unternehmen Huntress erklärte seinerseits, dass die kompromittierten Backup-Anmeldeinformationen ab Mitte Oktober für den Zugriff auf Microsoft 365-Mieter verwendet wurden. Technische Analysen ergaben, dass es sich bei dem Anmeldetyp um eine Client-Assertion handelte, was bedeutet, dass die Anmeldeinformation innerhalb der Umgebung des Anbieters selbst vorhanden war und nicht das Ergebnis einer Handlung seitens der Kunden darstellte.
Huntress registrierte Aktivitäten von einer IP-Adresse, die bei Passwort-Spray-Angriffen gegen Anwaltskanzleien eingesetzt wurde, wobei die Angreifer über Skripte eindrangen, die auf bestimmte Listen in Entra-Umgebungen abzielten. Trotz einiger erfolgreicher Anmeldeversuche betonte das Unternehmen, dass der tatsächliche Zugriff das Vorhandensein des Service Principals von ConnectWise innerhalb des Zielmieters erforderte.
Was ändert sich in der Praxis?
Inhaber von Unternehmen und IT-Verantwortlichen stehen vor der großen Verantwortung zu überprüfen, ob die Angreifer Einstellungen der Microsoft 365-Plattform geändert oder Mechanismen zur Aufrechterhaltung des Zugriffs (Persistence) innerhalb ihrer Mieter eingerichtet haben. Laut Cybersecurity-Experten gehen einige IT-Verantwortliche fälschlicherweise davon aus, dass Microsoft Konfigurationseinstellungen automatisch sichert, was die Wiederherstellung nach solchen Angriffen komplex macht und eine gründliche manuelle Prüfung durch die Sicherheitsteams erfordert.