Zum Inhalt springen
Alle Beiträge

· von NetProtector Security Team

ConnectWise-Lieferkettenangriff: 2.250 Microsoft-365-Mandanten im Visier

Illustration: Ein gebrochenes Glied der Lieferkette führt zu zahlreichen Cloud-Mandanten, mehrere davon kompromittiert

Angreifer haben Zugangsdaten von ConnectWise-Cloud-Diensten gestohlen und damit versucht, in mehr als 2.250 Microsoft-365-Umgebungen von Kunden einzudringen. Microsoft ordnet die Kampagne der China-nahen Gruppe Storm-0940 zu – und berichtet, dass die Angreifer ein KI-gestütztes Werkzeug einsetzten. Der Fall zeigt, wie gefährlich vertrauenswürdige Drittanbieter-Apps in der eigenen Cloud sein können.

Was passiert ist

ConnectWise bietet unter anderem Cloud Backup (früher SkyKick) für Microsoft 365 an – vor allem über IT-Dienstleister (MSPs). Damit solche Dienste arbeiten können, erteilen Kunden ihnen weitreichende Berechtigungen in ihrem Microsoft-365-Mandanten.

  • 10.–14. Oktober 2026: Storm-0940 versuchte zunächst per Password Spraying, sich bei 327 Konten in acht Organisationen anzumelden – laut Microsoft ohne Erfolg.
  • Danach: Die Angreifer nutzten gestohlene Zugangsdaten von Anwendungsidentitäten der ConnectWise-Dienste. Weil diese Apps bereits Berechtigungen in den Kunden-Mandanten hatten, war keine Benutzeranmeldung und keine MFA-Abfrage nötig.
  • 17.–19. Oktober: ConnectWise deaktivierte die betroffenen Anwendungsidentitäten und schaltete Cloud Backup, SaaS Security und Cloud Management vorübergehend ab.
  • 21. Oktober: Microsoft veröffentlichte seine Analyse.

Laut Microsoft liefen die Anmeldeversuche zeitweise mit bis zu 2.900 Versuchen pro Minute. Über Microsoft Graph führten die Angreifer Erkundung durch, änderten Anwendungs-Zugangsdaten und versuchten, Berechtigungen auszuweiten – Änderungen, die den Zugang auch nach dem Sperren der ursprünglichen Zugangsdaten erhalten können. In manchen Fällen vergingen von der Auswahl des Ziels bis zum privilegierten Zugriff weniger als drei Stunden.

Wie viele Mandanten tatsächlich kompromittiert wurden, ist nicht abschließend geklärt. Microsoft spricht von „zahlreichen“ Organisationen mit dauerhaftem privilegiertem Zugang; Berichte nennen rund 160 bestätigte unbefugte Anmeldungen. Ob Daten abgeflossen sind, lässt sich oft nicht sicher sagen, weil Lesezugriffe einer App über Graph nicht in jedem Fall protokolliert werden.

KI auf der Angreiferseite

Storm-0940 nutzte nach Microsofts Angaben ARTEX, ein frei verfügbares Penetrationstest-Framework, das mit KI-Agenten Erkundung, Schwachstellensuche und Angriffe auf Zugangsdaten automatisiert. Neu ist weniger die Technik als das Tempo: Was früher Tage manueller Arbeit war, erledigen Agenten in Stunden – und bei Tausenden Zielen parallel.

Was Sie jetzt tun sollten

  1. ConnectWise-Bezug klären. Nutzen Sie (oder Ihr IT-Dienstleister) ConnectWise Cloud Backup, SaaS Security oder Cloud Management? Lassen Sie betroffene Verbindungen deaktiviert, bis ConnectWise Hinweise zur Wiederherstellung gibt.
  2. Logs sichern, bevor Sie etwas ändern – sonst gehen Spuren verloren.
  3. Anmeldungen von Dienstprinzipalen prüfen, nicht nur von Benutzern – mindestens ab 1. Oktober 2026, wenn Ihre Aufbewahrung reicht. Achten Sie auf neue Client-Secrets oder Zertifikate an Apps und auf neue Berechtigungen.
  4. Unternehmensanwendungen aufräumen. Welche Drittanbieter-Apps haben welche Rechte in Ihrem Mandanten? Entfernen Sie, was nicht mehr gebraucht wird, und reduzieren Sie Berechtigungen auf das Nötigste.
  5. Bedingten Zugriff auch für Workload-Identitäten nutzen, wo verfügbar – etwa um Apps auf bekannte IP-Bereiche zu beschränken.

Unsere Einschätzung

Lieferkettenangriffe treffen dort, wo man am meisten vertraut. Eine Backup-App braucht Lesezugriff auf alles – genau das macht sie für Angreifer wertvoll. Das Prinzip der minimalen Rechte gilt deshalb auch für Dienstleister, und ungewöhnliches Verhalten einer bekannten App muss genauso auffallen wie das eines unbekannten Nutzers. Anomalieerkennung bedeutet hier: wissen, was normal ist, und Abweichungen sofort sehen.

Quellen