ConnectWise Supply-Chain-Angriff trifft Microsoft 365

Hinter dem ConnectWise Supply-Chain-Angriff steht jetzt ein Name. Microsoft schätzt ein, dass die staatsnahe chinesische Gruppe Storm-0940 gestohlene Zugangsdaten von ConnectWise-Cloud-Anwendungen genutzt hat, um sich in Microsoft-365-Tenants von Kunden anzumelden, und dass KI-Agenten die Arbeit erledigt haben. Die ConnectWise-Verbindung zu deaktivieren genügt womöglich nicht, weil die Angreifer eigene Zugangsdaten hinzugefügt haben könnten.

Was ist passiert beim ConnectWise Supply-Chain-Angriff

Am 21. Oktober ordnete Microsoft Storm-0940 dem ConnectWise Supply-Chain-Angriff zu, der Kompromittierung von ConnectWise Cloud Backup (früher SkyKick), einer mandantenfähigen Anwendung, die Kunden mit ihren Microsoft-365-Tenants verbunden hatten. ConnectWise veröffentlichte seine erste Mitteilung am 16. Oktober. Stand 23. Oktober sagte ConnectWise, es stelle den Dienst schrittweise wieder her, und bat Kunden, die Verbindungen deaktiviert zu lassen, bis es Anweisungen gibt. Den aktuellen Stand nennt das Trust Center.

Microsoft beschreibt zwei Phasen. Vom 10. bis 14. Oktober traf ein automatisierter Passwort-Spray von 144.172.64[.]99 insgesamt 327 Konten bei acht Organisationen, mit mehr als 151.000 fehlgeschlagenen Anmeldungen und einem Spitzenwert von 2.900 pro Minute am 11. Oktober. Keine war erfolgreich. Dieselbe Adresse taucht später in den Indikatoren von ConnectWise auf. Nachdem die Anwendungsidentitäten kompromittiert waren, meldeten sich die Agenten damit in Kundenumgebungen an, über Apps, die bereits Zugriff hatten, ohne interaktive Benutzeranmeldung. Microsoft zählt versuchte Anmeldungen bei mehr als 2.250 Tenants.

In manchen Umgebungen gingen die Agenten weiter zu Microsoft Graph: Erkundung, Änderungen an Anwendungs-Zugangsdaten und Änderungen an Identitäten, Gruppen und privilegierten Rollen. Microsoft sagt, solche Änderungen könnten als Hintertür aktiv bleiben, nachdem die ursprüngliche App bereinigt wurde. Es sagt auch, eine betroffene App oder selbst eine erfolgreiche Anmeldung zeige für sich allein nicht, dass auf Daten zugegriffen wurde. Das Werkzeug heißt ARTEX, ein agentisches KI-Framework für Penetrationstests. In mehreren Fällen berichtet Microsoft von weniger als drei Stunden von der ersten Zielauswahl bis zum privilegierten Cloud-Zugriff.

Warum das wichtig ist

Die Kunden hatten getan, was Anbieter verlangen: Sie hatten einem Backup-Werkzeug Zugriff erteilt. Die Angreifer nutzten genau diese Freigabe, und weil sich kein Benutzer anmeldet, greifen benutzerbezogene Kontrollen wie MFA in der Regel nicht. Microsoft nennt Luft- und Raumfahrt, Automobil, Chemie, Energie, Finanzdienstleistungen und Fertigung unter den Zielen, das deckt sich mit dem deutschen Mittelstand.

Annahme: Viele mittelständische Unternehmen in der DACH-Region betreiben Microsoft 365 über einen Managed-Service-Provider oder ergänzen Backup-Werkzeuge von Anbietern dieser Klasse, sodass die Frage „Welche externen Apps erreichen unseren Tenant?“ intern oft niemand beantworten kann. Es ist außerdem eine Frage des Lieferkettenrisikos nach NIS2. Die Anbieterseite haben wir in unserem früheren Beitrag zu ConnectWise Cloud Backup beschrieben, dasselbe Vertrauensproblem zeigte der Rank Math Supply-Chain-Angriff.

Was Sie jetzt tun sollten

1. Lassen Sie die ConnectWise-Verbindungen deaktiviert, bis ConnectWise etwas anderes sagt, und löschen Sie die Unternehmensanwendungen nicht zuerst. Sichern Sie Konfiguration, Entra-Anmelde- und Überwachungsprotokolle sowie Purview-Audit-Einträge. Finden Sie die Apps über die Anwendungs-ID, nicht über den Anzeigenamen; Microsoft nennt in seinem Bericht vier IDs.
2. Prüfen Sie ab dem 15. Oktober und, soweit die Protokolle reichen, die Anmeldungen der Dienstprinzipale bis zum 1. Oktober. Suchen Sie im Entra-Überwachungsprotokoll nach hinzugefügten Zugangsdaten bei diesen Apps, neuen Apps, Dienstprinzipalen oder Besitzern, App-Rollen- und Einwilligungs-Freigaben und privilegierten Rollenzuweisungen.
3. Durchsuchen Sie den Datenverkehr. Prüfen Sie Anmeldungen und Graph-Aktivität auf 144.172.64[.]99, 144.172.64[.]128 und 144.172.64[.]60 sowie auf jede App, die sich selbst eine Administratorrolle zugewiesen hat. Beschränken Sie die Prüfung nicht auf veröffentlichte Adressen.
4. Lassen Sie nach der Beweissicherung eine autorisierte Fachperson unberechtigte Zugangsdaten, Freigaben und Rollenzuweisungen entfernen und den Rest rotieren. Fragen Sie Ihren Anbieter schriftlich, ob Ihr Tenant betroffen war.

DIESEC Einschätzung

Die Zustimmung zu Drittanbieter-Apps ist der Teil der Microsoft-365-Governance, der am häufigsten keinen Verantwortlichen hat. Geben Sie jeder App mit mandantenweiten Berechtigungen einen benannten Verantwortlichen, einen dokumentierten Zweck und ein Prüfdatum, und nehmen Sie einen Anbietervorfall zum Anlass, die Zugangsdaten der App zu prüfen, nicht nur die Verbindung.

Nicht sicher, welche externen Apps dauerhaften Zugriff auf Ihren Microsoft-365-Tenant haben? Kontaktieren Sie DIESEC für eine Prüfung der Unternehmensanwendungen und Dienstprinzipale.

Quellen: Microsoft Security Blog | ConnectWise Trust Center | The Hacker News | Security Affairs
Veröffentlicht: 2026-10-26 | Kategorie: Tägliche News | ~4 Min. Lesezeit