Hinweis auf verfuegbaren Angriffscode: weaponized+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ConnectWise Resets Credentials as Cloud Backup Remains Offline After Security Incident
ConnectWise hat nach einem Sicherheitsvorfall, der zu unbefugtem Zugriff auf Anwendungsidentitäten führte, seine Cloud Backup-Dienste offline genommen und Zugangsdaten zurückgesetzt. Betroffen sind Kunden, die Cloud Backup nutzen, sowie vorsorglich auch SaaS Security und Cloud Management. Partner und Kunden sollten ihre Microsoft 365-Umgebungen auf verdächtige Aktivitäten überprüfen und betroffene Anwendungen nicht wieder verbinden, bis ConnectWise offizielle Anweisungen zur Wiederherstellung gibt.
SecBoard-Einordnung
Der Vorfall könnte zu unbefugtem Zugriff auf Microsoft 365-Umgebungen von Partnern und Kunden geführt haben, was Datenkompromittierung oder weitere Angriffe ermöglichen könnte. Das Zurücksetzen von Zugangsdaten und die Überprüfung der Umgebungen sind entscheidend, um potenzielle Risiken zu mindern.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer über die kompromittierten Anwendungsidentitäten persistenten Zugriff auf die Microsoft 365-Umgebungen von Partnern und Kunden erlangt haben, was zu Datenexfiltration, Manipulation oder der Installation von Malware führen könnte.
Empfehlung: Partner und Kunden sollten ihre Microsoft 365-Umgebungen umgehend auf verdächtige Aktivitäten überprüfen, Beweismittel sichern und betroffene Anwendungen erst nach offiziellen Anweisungen von ConnectWise wieder verbinden. Alle Zugangsdaten sollten als kompromittiert betrachtet und entsprechend behandelt werden.
Betroffen
Kunden, die ConnectWise Cloud Backup, SaaS Security und Cloud Management nutzen, sind betroffen. Insbesondere Partner und Kunden mit Microsoft 365-Umgebungen, die mit diesen Diensten verbunden sind.
Prüfen
3- ▸Überprüfen Sie Microsoft 365-Audit-Logs auf ungewöhnliche Anmeldeversuche, Änderungen an Berechtigungen oder Datenzugriffe, die mit den Zeitpunkten des Vorfalls korrelieren könnten.
- ▸Stellen Sie sicher, dass alle ConnectWise-bezogenen Anwendungsberechtigungen in Microsoft 365 überprüft und gegebenenfalls widerrufen wurden, bis eine sichere Wiederherstellung möglich ist.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Microsoft 365-Konten, insbesondere für Administratoren, um unbefugten Zugriff zu verhindern.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Das genaue Ausmaß des unbefugten Zugriffs auf individuelle Microsoft 365-Mandanten ist nicht spezifiziert.
- ▸Die spezifischen Methoden, die für den unbefugten Zugriff auf Anwendungsidentitäten verwendet wurden, sind nicht detailliert.
- ▸Der Zeitrahmen, wann die Dienste wiederhergestellt werden, ist nicht spezifiziert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„unbefugter Zugriff auf Anwendungsidentitäten“
„nicht spezifiziert im Artikel, aber eine mögliche Folge von unbefugtem Zugriff auf Anwendungsidentitäten“
„unbefugter Zugriff auf Anwendungsidentitäten“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Sophos X-OpsTechnischer BelegConnectWise Cloud Backup application abused in cross-tenant token sweep
- The RecordKontextConnectWise suspends Cloud Backup service after supply chain attack
- The Hacker NewsKontextConnectWise Resets Credentials as Cloud Backup Remains Offline After Security Incident
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktion mit eigener Recherche und eigenen Quellen, regelmaessig Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.