Lieferketten-Kompromittierung — Thema: supply chain | Ereignisbeleg: was breached, was compromised+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ConnectWise suspends Cloud Backup service after supply chain attack
ConnectWise hat seinen Cloud Backup-Dienst nach einem Supply-Chain-Angriff eingestellt. Angreifer nutzten kompromittierte Zugangsdaten, um Zugriff auf die Microsoft 365-Umgebungen von Kunden zu erlangen. ConnectWise hat betroffene Zugangsdaten widerrufen und empfiehlt Kunden, ihre eigenen Umgebungen auf unautorisierte Aktivitäten zu überprüfen.
SecBoard-Einordnung
Dieser Vorfall zeigt das Risiko von Supply-Chain-Angriffen, bei denen die Kompromittierung eines Drittanbieters direkten Zugriff auf kritische Kundensysteme wie Microsoft 365 ermöglichen kann. Es unterstreicht die Notwendigkeit robuster Zugangsverwaltung und Überwachung.
Realistisch schlimmster Fall: Unautorisierter Zugriff auf und potenzielle Kompromittierung von Microsoft 365-Umgebungen von Kunden, was zu Datenlecks, Manipulationen oder weiteren lateralen Bewegungen innerhalb der Kundennetzwerke führen könnte.
Empfehlung: Kunden sollten ihre Microsoft 365-Umgebungen umgehend auf unautorisierte Aktivitäten überprüfen, alle von ConnectWise bereitgestellten Zugangsdaten ändern und die Berechtigungen für Drittanbieteranwendungen überprüfen.
Betroffen
Kunden des ConnectWise Cloud Backup-Dienstes, insbesondere solche, deren Microsoft 365-Umgebungen aufgrund der weitreichenden Berechtigungen der Anwendung kompromittiert worden sein könnten.
Prüfen
3- ▸Überprüfen Sie alle Protokolle Ihrer Microsoft 365-Umgebung auf ungewöhnliche Anmeldeversuche oder Datenzugriffe, die mit dem Zeitpunkt des Vorfalls korrelieren könnten.
- ▸Stellen Sie sicher, dass alle von ConnectWise bereitgestellten oder verwendeten Zugangsdaten widerrufen und durch neue, sichere Anmeldeinformationen ersetzt wurden.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Berechtigungen, die ConnectWise Cloud Backup oder ähnlichen Drittanbieteranwendungen in Ihrer Microsoft 365-Umgebung gewährt wurden, und reduzieren Sie diese auf das absolute Minimum (Least Privilege).
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Umfang der Kompromittierung innerhalb der einzelnen Kundenumgebungen ist nicht spezifiziert.
- ▸Die spezifischen Methoden, mit denen die Zugangsdaten kompromittiert wurden, sind nicht spezifiziert.
- ▸Die Identität der Angreifer ist nicht spezifiziert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer nutzten kompromittierte Zugangsdaten, um Zugriff auf die Microsoft 365-Umgebungen von Kunden zu erlangen.“
„ConnectWise hat seinen Cloud Backup-Dienst nach einem Supply-Chain-Angriff eingestellt.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Sophos X-OpsTechnischer BelegConnectWise Cloud Backup application abused in cross-tenant token sweep
- The RecordKontextConnectWise suspends Cloud Backup service after supply chain attack
- The Hacker NewsKontextConnectWise Resets Credentials as Cloud Backup Remains Offline After Security Incident
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktion mit eigener Recherche und eigenen Quellen, regelmaessig Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.