Angreifer kapern App-Identitäten für Microsoft 365

Der Anbieter von IT-Management-Software ConnectWise hat sieben seiner Anwendungsidentitäten in Microsoft Entra ID deaktiviert und seinen Dienst Cloud Backup ausgesetzt. Unbekannte Angreifer hatten sich unbefugt Zugang zu den Anwendungsidentitäten verschafft und darüber Microsoft-365-Umgebungen von Kunden kompromittiert. Betroffen sind die App-Registrierungen für ConnectWise Cloud Backup sowie für Cloud Management mit Zugriffen auf Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center und SharePoint Online. ConnectWise widerrief zudem die Zertifikate der betroffenen Verbindungen für alle Nutzer.

„Das Deaktivieren der betroffenen Verbindungen verhindert neue Anmeldungen über diese Verbindungen, macht aber Änderungen, die zuvor innerhalb eines Mandanten vorgenommen wurden, nicht rückgängig.”
ConnectWise

Bereits ausgestellte Zugriffstokens könnten bis zu ihrem Ablauf nutzbar bleiben.

Backups und Wiederherstellung nicht verfügbar

Geplante Backups laufen derzeit nicht, auch der Zugriff auf Archive und Wiederherstellungen ist nicht möglich. Laut ConnectWise sind die bestehenden Archive verschlüsselt, isoliert und erhalten, Hinweise auf einen Zugriff der Angreifer gebe es nicht. Vorsorglich hat das Unternehmen auch die Dienste SaaS Security und Cloud Management abgeschaltet. Bemerkt hatte ConnectWise den Vorfall am 14. Oktober. Wie die Zugangsdaten der Anwendungen offengelegt wurden und ob eine Schwachstelle in einem Produkt beteiligt war, ist noch unklar.

Microsoft 365: Zugriff ohne Passwörter der Kunden

Mit den gestohlenen Zugangsdaten konnten sich die Angreifer als die jeweilige Anwendung anmelden und bei Microsoft Entra ID Zugriffstokens mit deren Berechtigungen anfordern, ohne die Passwörter einzelner Kunden zu stehlen. Je nach Berechtigungen ließen sich so Postfächer, SharePoint-Dokumente, Teams-Nachrichten und Verzeichnisdaten abrufen. Zudem konnten Angreifer die Anwendung der Rolle Global Administrator zuweisen, anderen Anwendungen im Mandanten eigene Client Secrets hinzufügen oder neue Anwendungen anlegen. Solche Secrets ermöglichen auch nach dem Widerruf der ursprünglichen Zugangsdaten weiteren Zugriff.

Laut dem Sicherheitsunternehmen Huntress gab es von der beteiligten IP-Adresse Anmeldeaktivität bei fast 1.000 Entra-Mandanten, rund 300 Anmeldungen waren erfolgreich. Einen Missbrauch der Teams-Anwendung bestätigte Huntress in einem Mandanten. Am 15. Oktober beobachtete Huntress zudem eine zweite, gezielte Welle gegen 16 Mandanten aus den Bereichen Politik, nationale Sicherheit, Handel und kritische Rohstoffe, die erfolglos blieb. Seitdem habe Huntress keine neue Aktivität festgestellt.

Mandanten prüfen

ConnectWise und Huntress empfehlen Partnern, den eigenen Microsoft-365-Mandanten und alle betreuten Kundenmandanten zu prüfen, auch solche mit ruhenden Verbindungen zu SkyKick. Anmeldungen seit dem 13. Oktober sollten auf Aktivität von den IP-Adressen 144.172.64[.]128, 144.172.64[.]99 und 144.172.64[.]60 untersucht werden. Vor Gegenmaßnahmen sollten Protokolle gesichert werden. Zu prüfen sind Anmeldeinformationen von Anwendungen, Verzeichnisrollen, Einwilligungen, Weiterleitungen und Regeln in Postfächern sowie delegierte Postfachzugriffe. Richtlinien für die Verwaltung von Anwendungen in Entra können Client Secrets einschränken und ihre Laufzeit begrenzen.

(red)