ConnectWise hat vor Kurzem den Zugriff auf seinen Dienst Cloud Backup sowie auf einige weitere Dienste gesperrt. Als Grund nannte das Unternehmen den Verdacht auf einen Lieferkettenangriff, der auf Microsoft 365 Kunden abzielt. Der Cyberangriff auf die Backup Lösungen von ConnectWise verdeutlicht, dass bestimmte Aspekte der Datensicherheit für Endnutzer im Verborgenen bleiben können: Sie sind Teil einer Liefer und Dienstleistungskette, mit deren einzelnen Akteuren die Nutzer selbst nie unmittelbar in Kontakt treten.
Welche Dienste sind betroffen?
Die Betriebsunterbrechung betrifft die ConnectWise Dienste SaaS Security und Cloud Management, insbesondere jedoch Cloud Backup, das zuvor unter dem Namen SkyKick bekannt war. Nach Angaben des Unternehmens wurden seit dem 17. Oktober keine erfolgreichen Angriffsaktivitäten mehr beobachtet. Dies deutet darauf hin, dass der Vorfall inzwischen unter Kontrolle ist.
Wie kam es zu dem Vorfall?
Microsoft Threat Intelligence bestätigte am Samstag, einen aktiven Lieferkettenangriff zu untersuchen, bei dem eine als vertrauenswürdig eingestufte OAuth Anwendung für ConnectWise Cloud Backup kompromittiert wurde. Dies geht aus einem Beitrag auf X hervor.
Laut Microsoft handelt es sich bei ConnectWise Cloud Backup um eine mandantenfähige Anbieteranwendung, der Kunden Berechtigungen für den Betrieb innerhalb ihrer jeweiligen Microsoft 365 Mandanten erteilen. Die Sicherheitsforscher von Microsoft gehen davon aus, dass der Angreifer wahrscheinlich Berechtigungen missbraucht hat, die Kunden der Anwendung zuvor eingeräumt hatten.
Microsoft teilte mit, am Donnerstag zahlreiche erfolgreiche Authentifizierungen eines Sicherheitsprinzipals von der IP Adresse 142.172.64[.]128 aus festgestellt zu haben. Darüber hinaus wurden Auskundschaftungsaktivitäten über die Microsoft Graph API sowie Versuche des Angreifers beobachtet, zusätzliche Anmeldeinformationen zu hinterlegen, um sich einen dauerhaften Zugang in Form einer Hintertür zu sichern.
Wer ist betroffen?
Belastbare Gesamtzahlen liegen bislang nicht vor. Einzelne unabhängige Berichte ermöglichen jedoch eine grobe Einschätzung des Ausmaßes. Huntress, ein in Maryland ansässiger Anbieter einer Managed Security Plattform, berichtet in seinem Blog von 162 unautorisierten Anmeldungen bei Mandanten. Bei mehr als 1.000 Microsoft 365 Konten wurden Zugriffsversuche festgestellt; bei rund 300 davon waren diese erfolgreich. Auch der Plattformanbieter Todyl meldete Auswirkungen desselben Angriffs.
Die bislang bekannten Zahlen lassen somit kein katastrophales Ausmaß erkennen. Besondere Aufmerksamkeit verdient jedoch die Reichweite des Angriffs über den ursprünglich betroffenen Dienst hinaus: Der Vorfall zeigt, wie viele nachgelagerte Kunden betroffen sein können und wie eng diese Systeme miteinander verknüpft sind.
Was ist jetzt zu tun?
Der erste Schritt besteht darin, eine Kompromittierung zu erkennen. Wie bei jeder Kompromittierung von Identitäten sind ungewöhnliche, vom üblichen Nutzungsmuster abweichende Kontoaktivitäten häufig die ersten Anzeichen. Dazu zählen etwa Versuche, auf Informationen zuzugreifen, für die kein geschäftlicher Bedarf besteht. Über kompromittierte Konten können Angreifer zudem versuchen, Berechtigungen auszuweiten oder Zugang zu weiterführenden Systemen zu erlangen.
ConnectWise empfiehlt folgende Maßnahmen:
- Verfügbare Anmelde und Auditprotokolle sichern und zugleich unverzüglich Maßnahmen zur Eindämmung des Vorfalls ergreifen.
- Authentifizierungsvorgänge von Anwendungen und Benutzern, Anmeldeinformationen von Anwendungen sowie Vertrauensstellungen im Rahmen der Identitätsföderation überprüfen.
- Postfächer auf unautorisierte Weiterleitungen, Posteingangsregeln und delegierte Zugriffsrechte prüfen.
- Alle weiteren Identitäten untersuchen, die im Zusammenhang mit verdächtigen Aktivitäten verändert oder verwendet wurden.
Ihre Daten in Ihren Händen – Mit TECH-ARROW
Bildquelle: Canva
