MSPs sollten die von ConnectWise bereitgestellten IP-Adressen überprüfen und ihre Microsoft 365-Umgebungen auf Anzeichen unbefugten Zugriffs untersuchen.
Hinweis auf verfuegbaren Angriffscode: weaponized+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ConnectWise Suspends Cloud Services in Response to Cyberattack
ConnectWise hat seine Cloud-Dienste (Cloud Backup, SaaS Security, Cloud Management) nach einem Cyberangriff eingestellt. Hacker nutzten kompromittierte Zugangsdaten, um auf M365-Mandanten von Kunden zuzugreifen, wobei über 160 Microsoft 365-Mandanten betroffen waren. ConnectWise hat die betroffenen IP-Adressen veröffentlicht und empfiehlt MSPs, ihre Microsoft 365-Umgebungen zu überprüfen.
SecBoard-Einordnung
Der Angriff auf ConnectWise-Dienste kann zu Unterbrechungen bei Datensicherungen, Sicherheitsüberwachung und Benutzerverwaltung führen. Die Kompromittierung von M365-Mandanten birgt das Risiko unbefugten Zugriffs auf sensible Unternehmensdaten und -systeme.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständigen Zugriff auf die Microsoft 365-Umgebungen der betroffenen Kunden erlangen, was zu Datenexfiltration, Manipulation oder Ransomware-Angriffen führen könnte, die den Geschäftsbetrieb erheblich stören.
Empfehlung: MSPs sollten die von ConnectWise bereitgestellten IP-Adressen überprüfen und ihre Microsoft 365-Umgebungen auf Anzeichen unbefugten Zugriffs untersuchen. Es wird empfohlen, alle kompromittierten Zugangsdaten umgehend zu ändern und Multi-Faktor-Authentifizierung (MFA) zu erzwingen.
Betroffen
MSPs und deren Kunden, die ConnectWise Cloud Backup, SaaS Security und Cloud Management Dienste nutzen, sind betroffen. Insbesondere Organisationen mit Microsoft 365-Mandanten, die über ConnectWise verwaltet werden.
Prüfen
3- ▸Überprüfen Sie die von ConnectWise bereitgestellten IP-Adressen in Ihren Netzwerkprotokollen und Microsoft 365-Audit-Logs auf verdächtige Aktivitäten.
- ▸Stellen Sie sicher, dass Multi-Faktor-Authentifizierung (MFA) für alle Microsoft 365-Konten, insbesondere für Administratoren, erzwungen wird.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung aller Benutzerkonten und deren Berechtigungen in Ihren Microsoft 365-Mandanten durch, um unbefugte Änderungen zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus, wie die Zugangsdaten kompromittiert wurden, ist nicht spezifiziert.
- ▸Das Ausmaß der Datenexfiltration oder -manipulation ist nicht spezifiziert.
- ▸Die spezifischen Identitäten der betroffenen Kunden sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Cisco extern erreichbar?
- Können wir Credential Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Hacker nutzten kompromittierte Zugangsdaten, um auf M365-Mandanten von Kunden zuzugreifen“
„ConnectWise suspended its Cloud Backup, SaaS Security, and Cloud Management services“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap