▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hinweis auf verfuegbaren Angriffscode: proof of concept+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine technische Analyse mit pruefbaren Details
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Principal Problems: App Registrations, Service Principals, and the Hidden Risk of Multi-Tenant Apps
Ein unbekannter Angreifer nutzte gestohlene Zugangsdaten von ConnectWise Cloud Backup, um in über 100 Microsoft 365-Umgebungen von Kunden einzudringen. Dies geschah durch Missbrauch der App-Registrierung des Anbieters, um sich als Dienstprinzipal in den betroffenen Mandanten zu authentifizieren. Nutzer sollten ihre Microsoft 365-Mandanten auf Kompromittierung prüfen und die Risiken von Multi-Tenant-Apps sowie der App-Zustimmung generell verstehen.
SecBoard-Einordnung
Dieser Vorfall zeigt, wie der Missbrauch von App-Registrierungen und Dienstprinzipalen in Multi-Tenant-Umgebungen zu weitreichenden Kompromittierungen führen kann. Gestohlene Zugangsdaten eines Drittanbieters können direkten Zugriff auf zahlreiche Kundenumgebungen ermöglichen.
Realistisch schlimmster Fall: Der schlimmste Fall ist ein unbefugter Zugriff auf sensible Daten und Systeme in über 100 Microsoft 365-Umgebungen, was zu Datenexfiltration, weiteren lateralen Bewegungen und erheblichen Betriebsunterbrechungen führen kann.
Empfehlung: Überprüfen Sie umgehend Ihre Microsoft 365-Mandanten auf Anzeichen einer Kompromittierung, insbesondere im Zusammenhang mit App-Registrierungen und Dienstprinzipalen. Überprüfen und verschärfen Sie Ihre Richtlinien für die App-Zustimmung und die Verwaltung von Multi-Tenant-Apps.
Im erfassten Bestand
- ▸24. erfasste Meldung zu APT29 innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Kunden von ConnectWise Cloud Backup, deren Microsoft 365-Umgebungen betroffen sind, sowie Organisationen, die Multi-Tenant-Apps und App-Zustimmungen in Microsoft 365 nutzen.
Prüfen
3- ▸Überprüfen Sie Audit-Logs in Microsoft 365 auf ungewöhnliche Anmeldeversuche oder Aktivitäten von Dienstprinzipalen, insbesondere von Drittanbieter-Apps.
- ▸Inventarisieren Sie alle Multi-Tenant-Apps, die in Ihrem Microsoft 365-Mandanten registriert sind, und überprüfen Sie deren Berechtigungen.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Richtlinien für die App-Zustimmung (App Consent Policies) in Ihrem Microsoft 365-Mandanten, um die Zustimmung zu potenziell schädlichen Apps einzuschränken.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Methode, wie die Zugangsdaten von ConnectWise Cloud Backup gestohlen wurden, ist nicht spezifiziert.
- ▸Die spezifischen Berechtigungen, die der Dienstprinzipal im Rahmen des Angriffs erlangt hat, sind nicht spezifiziert.
- ▸Die Identität des unbekannten Angreifers ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir SharePoint extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Ein unbekannter Angreifer nutzte gestohlene Zugangsdaten von ConnectWise Cloud Backup, um in über 100 Microsoft 365-Umgebungen von Kunden einzudringen.“
„Missbrauch der App-Registrierung des Anbieters, um sich als Dienstprinzipal in den betroffenen Mandanten zu authentifizieren.“
„Missbrauch der App-Registrierung des Anbieters, um sich als Dienstprinzipal in den betroffenen Mandanten zu authentifizieren.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile
ATT&CK-Heatmap