Lieferketten-Kompromittierung — Thema: supply-chain | Ereignisbeleg: victim, been compromised+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
Hacker haben über eine Supply-Chain-Attacke auf ConnectWise Cloud Backup (ehemals SkyKick) zahlreiche Microsoft 365-Mandanten kompromittiert. Betroffen sind Kunden, deren Microsoft 365-Daten über ConnectWise gesichert wurden, da Angreifer Zugriff auf Anwendungsidentitäten erhielten. ConnectWise hat den Dienst vorübergehend eingestellt und empfiehlt Partnern und Kunden, ihre Umgebungen zu überprüfen und verdächtige Aktivitäten zu melden.
SecBoard-Einordnung
Dieser Vorfall zeigt die Risiken von Supply-Chain-Angriffen, bei denen die Kompromittierung eines Drittanbieters direkten Zugriff auf sensible Kundendaten und -systeme ermöglicht, selbst wenn MFA implementiert ist.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständigen Zugriff auf die Microsoft 365-Umgebungen der betroffenen Mandanten erlangen, was zu Datenexfiltration, Manipulation oder weiteren lateralen Bewegungen führen könnte.
Empfehlung: Betroffene Organisationen sollten ihre Umgebungen umgehend auf verdächtige Aktivitäten überprüfen, insbesondere im Zusammenhang mit den Berechtigungen der ConnectWise Cloud Backup-Anwendung, und alle verdächtigen Vorfälle melden.
Betroffen
Kunden, deren Microsoft 365-Daten über ConnectWise Cloud Backup (ehemals SkyKick) gesichert wurden, sind betroffen. Mindestens 162 Mandanten sind nach dem Artikel betroffen.
Prüfen
3- ▸Überprüfen Sie Audit-Logs in Microsoft 365 auf ungewöhnliche Anmeldeversuche oder Aktivitäten von Anwendungsidentitäten, die mit ConnectWise Cloud Backup verknüpft sind.
- ▸Stellen Sie sicher, dass alle Berechtigungen für ConnectWise Cloud Backup auf das absolut notwendige Minimum beschränkt sind (Least Privilege Principle).
▸ 1 weitere▾ weniger
- ▸Überwachen Sie den Datenverkehr und die Zugriffe, die von oder zu ConnectWise Cloud Backup-Diensten stammen, auf Anomalien.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus, wie die Anwendungsidentitäten kompromittiert wurden, ist nicht spezifiziert.
- ▸Das Ausmaß der Datenexfiltration oder -manipulation ist nicht spezifiziert.
- ▸Die spezifischen Taktiken, Techniken und Prozeduren (TTPs) der Angreifer sind nicht detailliert beschrieben.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer erhielten Zugriff auf Anwendungsidentitäten.“
„Hacker haben über eine Supply-Chain-Attacke auf ConnectWise Cloud Backup (ehemals SkyKick) zahlreiche Microsoft 365-Mandanten kompromittiert.“
„The attackers used existing permissions granted to the backup application, bypassing MFA.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextHackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
- BleepingComputerKontextHackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.