Zahlreiche Microsoft-365-Accounts über Backup-Dienst attackiert

Erneut haben Angreifer einen recht kreativen Weg gefunden, um sich Zugang zu Microsoft-365-Umgebungen zu verschaffen. Diesmal kaperten sie entsprechende Accounts über einen Backup-Service.

Service vorerst abgeschaltet

Der IT-Dienstleister ConnectWise hat den Zugriff auf seinen Cloud-Backup-Dienst vorübergehend gesperrt, nachdem Angreifer Anwendungsidentitäten missbraucht und damit Zugriff auf Microsoft-365-Umgebungen von Kunden erlangt hatten. Sicherheitsforscher haben bereits zahlreiche betroffene Microsoft-365-Nutzer identifiziert. Das volle Ausmaß des Angriffs ist bislang unklar.

Nach Angaben des Sicherheitsunternehmens Huntress wurden in seiner Überwachungsumgebung mindestens 162 kompromittierte Microsoft-365-Kunden gezählt. Microsoft bestätigte ebenfalls verdächtige Aktivitäten im Zusammenhang mit ConnectWise Cloud Backup, das früher unter dem Namen SkyKick Cloud Backup angeboten wurde. Die ersten bekannten Zugriffsversuche gehen mindestens auf den 15. Oktober zurück.


Die Angreifer nutzten offenbar Berechtigungen, die Kunden der Backup-Anwendung zuvor eingeräumt hatten. Über sogenannte Service Principals können Anwendungen in Microsoft Entra ID auf Ressourcen eines Nutzers zugreifen. Nach Erkenntnissen der Sicherheitsplattform Todyl authentifizierte sich der Angreifer direkt bei Microsoft 365 und verwendete dazu ein Geheimnis der Backup-Anwendung. Da keine interaktive Benutzeranmeldung erforderlich war, griff auch die Mehr-Faktor-Authentifizierung nicht als Schutzmaßnahme.

Die vorhandenen Berechtigungen ermöglichten anschließend den Zugriff auf E-Mails und Anhänge, Dateien in OneDrive und SharePoint sowie Chats in Microsoft Teams. Huntress und Microsoft beobachteten zudem Versuche, zusätzliche Rechte und Zugangsdaten einzurichten. In mindestens einem Fall soll sich eine Anwendung sogar die Rolle eines globalen Administrators zugewiesen haben.

Backups nicht betroffen

Microsoft stuft den Vorfall als aktiven Angriff auf die Lieferkette ein. Die Aktivitäten wurden von mehreren Sicherheitsunternehmen derselben IP-Adresse zugeordnet. Wie die Angreifer an die erforderlichen Zugangsdaten gelangten und wie viele Daten tatsächlich abgegriffen wurden, ist bislang nicht bekannt.

ConnectWise betont, dass es derzeit keine Hinweise auf eine Kompromittierung der gespeicherten Backup-Archive gebe. Diese seien weiterhin verschlüsselt und isoliert. Allerdings sind während der Unterbrechung weder reguläre Sicherungen noch Zugriffe auf betroffene Archive und Wiederherstellungen möglich. Vorsorglich wurden auch die Dienste SaaS Security und Cloud Management abgeschaltet.

Administratoren sollten ihre Microsoft-365-Umgebungen überprüfen. ConnectWise und Sicherheitsforscher empfehlen, Anmeldeprotokolle in Entra ID zu untersuchen, unerwartete Berechtigungen sowie neu hinzugefügte Anwendungszugangsdaten zu suchen und verdächtige Cloud-Management-Integrationen zu deaktivieren. Das Abschalten der betroffenen Anwendungen allein reicht möglicherweise nicht aus: Bereits ausgestellte Zugriffstoken können bis zu ihrem Ablauf weiterhin gültig sein.

Siehe auch: