Lieferketten-Kompromittierung — Thema: lieferkette | Ereignisbeleg: kompromittiert, betroffen+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Lieferkettenangriff auf Backup-Dienst trifft Hunderte M365-Tenants
Ein Lieferkettenangriff auf den Backup-Dienst ConnectWise Cloud Backup hat Hunderte von Microsoft 365-Tenants betroffen. Angreifer nutzten gestohlene Anmeldedaten, um sich unbefugt Zugang zu verschaffen. Kunden müssen nun selbst aufwendig prüfen, ob sie betroffen sind, und ConnectWise hat seine Dienste vorübergehend abgeschaltet.
SecBoard-Einordnung
Organisationen, die ConnectWise Cloud Backup verwenden, könnten unbefugten Zugriff auf ihre M365-Umgebungen erlebt haben, was zu Datenkompromittierung oder weiteren Angriffen führen kann. Die manuelle Überprüfung der Protokolle ist zeitaufwendig und kritisch.
Realistisch schlimmster Fall: Unbefugter Zugriff auf sensible Daten in Microsoft 365-Umgebungen, potenzielle Datenexfiltration oder die Installation von Backdoors durch die Angreifer, die zu langfristigen Kompromittierungen führen könnten.
Empfehlung: Kunden sollten umgehend ihre Microsoft 365-Protokolle auf verdächtige Anmeldeversuche oder Aktivitäten überprüfen, die mit dem Zeitraum des Angriffs zusammenfallen. Zudem sollten alle Anmeldeinformationen, die mit ConnectWise Cloud Backup in Verbindung stehen, überprüft und gegebenenfalls geändert werden.
Betroffen
Hunderte von Microsoft 365-Tenants, die den ConnectWise Cloud Backup-Dienst nutzen.
Prüfen
3- ▸Überprüfen Sie Microsoft 365-Anmeldeprotokolle auf ungewöhnliche Anmeldeorte, -zeiten oder -muster, die von ConnectWise Cloud Backup-Konten stammen.
- ▸Suchen Sie in M365-Audit-Logs nach Änderungen an Benutzerberechtigungen, neuen Benutzerkonten oder ungewöhnlichen API-Aufrufen, die nach dem Kompromittierungszeitraum stattgefunden haben.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Multi-Faktor-Authentifizierung (MFA) für alle M365-Administratorkonten und idealerweise für alle Benutzer aktiviert ist, um die Auswirkungen gestohlener Anmeldeinformationen zu mindern.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Umfang der kompromittierten Daten ist nicht spezifiziert.
- ▸Die spezifischen Methoden, mit denen die Anmeldeinformationen gestohlen wurden, sind nicht spezifiziert.
- ▸Die Dauer des unbefugten Zugriffs vor der Entdeckung ist nicht spezifiziert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer nutzten gestohlene Anmeldedaten, um sich unbefugt Zugang zu verschaffen.“
„Ein Lieferkettenangriff auf den Backup-Dienst ConnectWise Cloud Backup hat Hunderte von Microsoft 365-Tenants betroffen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.