App von ConnectWise Cloud Backup für Einbruch in M365-Tenants missbraucht

Angreifer missbrauchten ab dem 15. Oktober 2026 die Microsoft-365-App-Identität von ConnectWise Cloud Backup, früher SkyKick Cloud Backup, um sich bei Kunden-Tenants anzumelden. Ein Tenant ist die eigene Microsoft-365-Umgebung einer Organisation. Die Sicherheitsfirma Huntress bestätigte unbefugte Anmeldungen bei mindestens 162 davon. Weil sich der Angreifer als vertrauenswürdige App anmeldete und nicht als Person, kam die Multi-Faktor-Authentifizierung (MFA) nie zum Zug.

Microsoft sprach von einem aktiven Supply-Chain-Angriff, berichtet BleepingComputer. Bei einem Supply-Chain-Angriff dringen Angreifer über einen Anbieter ein, dem ihre Ziele vertrauen. ConnectWise verkauft seine Tools vor allem an Managed Service Provider (MSPs), also an Firmen, die die IT für viele kleinere Unternehmen betreiben.

Wie der Angriff funktionierte

Backup-Apps brauchen weitreichenden Zugriff. Deshalb erteilen Kunden ihnen umfassende Berechtigungen in Microsoft Entra ID, dem Identitätsdienst von Microsoft. Die App hat dann eine eigene Identität, einen sogenannten Service Principal, der sich ohne Menschen anmelden kann.

Der Angreifer nutzte die eigenen Zugangsdaten der Backup-App, um Zugriffstoken anzufordern. Damit rief er Microsofts Graph API mit den Berechtigungen auf, die Kunden bereits erteilt hatten. Die Forscher beschreiben die Zugangsdaten unterschiedlich. Huntress spricht von einer Client Assertion, während Todyl, eine weitere Sicherheitsfirma, sagt, es sei ein Client Secret verwendet worden.

Einige der Cloud-Management-Apps von ConnectWise wiesen sich danach selbst Admin-Rollen zu, „überwiegend Exchange Administrator“, wie Huntress feststellte. In einem Tenant machte sich die App Teams Cloud Management selbst zum Global Administrator. Sie fügte außerdem zwei anderen Apps Zugangsdaten hinzu. Eine davon gehörte Huntress selbst.

Chronologie

Datum (2026, UTC)	Was geschah
13. bis 14. Oktober	Password Spraying traf laut Huntress vier Tenants von Anwaltskanzleien
14. Oktober	ConnectWise gibt an, das Problem erkannt zu haben
15. Oktober, ab 01:58	Schädliche Anmeldungen und Rollenänderungen begannen, laut Huntress
16. Oktober, 17:47	ConnectWise veröffentlichte seine erste Sicherheitsmitteilung
16. Oktober, 19:00	Huntress bestätigte Anmeldungen in 162 Tenants
17. Oktober	ConnectWise deaktivierte sieben App-Identitäten und setzte Cloud Backup aus
18. Oktober, 01:00	Cloud Backup weiterhin ausgesetzt, ohne Angabe, wann es zurückkehrt

Die Zahl wuchs weiter. In einem Update vom 17. Oktober teilte Huntress mit, dass fast 1.000 Entra-Tenants Anmeldeversuche von der IP-Adresse des Angreifers gesehen hätten. Mehr als 300 davon seien erfolgreich gewesen. Niemand hat den Angreifer benannt. Huntress führte die Aktivität auf eine Adresse eines Hosting-Anbieters zurück, 144.172.64[.]128.

Welche Daten gefährdet waren

Die von Kunden erteilten Berechtigungen erlaubten der Backup-App, E-Mails, Dateien in OneDrive und SharePoint sowie Teams-Chats zu lesen und zu schreiben, sagt Todyl. In den neun Tenants, die Todyl untersucht hat, fand die Firma nur Anmeldungen, keinen Beweis für Datendiebstahl. Auch Huntress hat keinen Zugriff auf E-Mails oder Dateien bestätigt. Die Firma warnt, dass das Lesen des Verzeichnisses keine Spuren in den Audit-Logs hinterlässt.

„Wir haben bislang keine Hinweise darauf, dass Backup-Daten von Cloud-Backup-Partnern kompromittiert wurden“, erklärte ConnectWise in seiner Sicherheitsmitteilung. Das Unternehmen hat außerdem seine Dienste SaaS Security und Cloud Management vorsorglich vom Netz genommen.

Was das für Entwickler bedeutet

• Die ConnectWise-Apps deaktivieren, nicht löschen. Huntress rät, die betroffenen Enterprise-Apps in jedem Tenant zu deaktivieren. Das Löschen entfernt die Zustimmung und erschwert spätere Untersuchungen. Ältere Tenants führen sie möglicherweise als „SkyKick Cloud Manager“.
• Daran denken, dass Token die Abschaltung überdauern. Bereits ausgestellte Token bleiben gültig, bis sie ablaufen, bis zu 90 Minuten lang, sagt Todyl. Das Widerrufen von Benutzersitzungen beendet den Zugriff einer App nicht.
• Nach neuen Zugangsdaten und Rollen suchen. Prüfen Sie Client Secrets und Zertifikate, die seit dem 13. Oktober hinzugefügt wurden. Durchsuchen Sie die Entra-Audit-Logs nach Apps, die sich selbst Rollen zugewiesen haben. Entfernen Sie alle unerwarteten Global-Administrator-Rechte.
• Backups nicht zu früh wieder einschalten. „Aktivieren Sie betroffene ConnectWise-Anwendungen erst wieder, wenn ConnectWise bestätigt, dass alle Zugangsdaten zurückgesetzt wurden“, sagt Huntress. Das Deaktivieren pausiert Backups, löscht aber nicht die Kopien, die ConnectWise bereits vorhält.
• Jede App mit weitreichender Zustimmung prüfen. Dieser Angriff brauchte kein gestohlenes Passwort und kam an der MFA vorbei. Jede Drittanbieter-App mit tenantweiten Berechtigungen für E-Mails oder Dateien ist dieselbe Art von Tür. Listen Sie diese Apps auf, streichen Sie Berechtigungen, die sie nicht brauchen, und begrenzen Sie, wer sie verwalten darf.