Angreifer nutzten die App-Identität von ConnectWise Cloud Backup für Anmeldungen in Microsoft-365-Tenants

ConnectWise hat seinen Dienst Cloud Backup am 17. Oktober 2026 abgeschaltet, nachdem ein Angreifer die eigene Applikationsidentität des Produkts genutzt hatte, um sich in Microsoft-365-Tenants von Kunden anzumelden und Microsoft-Graph-Token zu erlangen. Kein Benutzerpasswort war beteiligt, und keine Mehrfaktorabfrage erschien. Huntress berichtete zuerst über die Aktivität; SpecterOps und BleepingComputer veröffentlichten am 17. Oktober eigene Darstellungen.

Zum Weiterlesen: Angreifer schleusten eine Backdoor über die eigenen Update-Server von AOMEI Backupper ein · Hacktrons HEIF Heist: Eine ungepatchte Bildbibliothek öffnete die Tür zu OpenAIs Monorepo.

Die Anmeldungen liefen am 15. Oktober von 06:13 bis 08:34 UTC, alle von 144.172.64.128, einer Adresse bei einem Hosting-Anbieter. Sie wechselten im Abstand von Sekunden zwischen Tenants, ein Muster, das SpecterOps als typisch für ein Skript beschreibt, das eine Zielliste abarbeitet. Am 13. und 14. Oktober hatte dieselbe Adresse bereits skriptgesteuerte Anmeldungen mit Client-Anwendungs-IDs anderer Werkzeuge versucht, mit dem User-Agent curl/7.88.1. Huntress und BleepingComputer hielten diese früheren Sondierungen beide fest. Die Cloud-Backup-Identität war nicht die erste, die probiert wurde. Zwei Tage Versuche gegen andere Anwendungen lassen das erfolgreiche Zeitfenster wie das Ende einer Suche wirken und nicht wie einen Glückstreffer.

Huntress bestätigte unautorisierte Anmeldungen in mindestens 162 Tenants, als BleepingComputer veröffentlichte. SpecterOps nennt dieselbe Zahl. Eine spätere Wochenzusammenfassung kam auf 173, was darauf hindeutet, dass die Zahl noch stieg, während die ersten Berichte erschienen. Behandeln Sie beide Werte als Untergrenze.

Die Anwendung erledigte die Arbeit eines Passworts

Ein Dienstprinzipal ist der Weg, auf dem Software sich bei Microsoft Entra ID anmeldet. Ein Administrator erteilt die Berechtigungen einmal, danach legt die Anwendung ein Geheimnis oder ein Zertifikat vor. Es sitzt kein Mensch an der Tastatur, den man abfragen könnte, MFA hat also nichts, worauf sie reagieren könnte. Das ist kein Fehler der MFA. Es ist ein anderer Authentifizierungspfad, und genau dieser Pfad wurde hier benutzt.

Cloud Backup hält in jedem Kunden-Tenant eine solche Identität, mit Rechten, die weit genug reichen, um die Aufgabe zu erledigen: Postfächer, OneDrive- und SharePoint-Dateien sowie Teams-Chats lesen und an anderer Stelle kopieren. Todyl, dessen Analyse BleepingComputer zitiert, erklärte, die bereits zugestimmte App könne Mail und Anhänge, Dateien und Chatnachrichten lesen und schreiben. Ein gestohlenes Token erbte all das.

Die Seite des Kunden in dieser Vereinbarung ist ein Zustimmungsbildschirm. Ein Administrator genehmigt die App einmal, und das Geheimnis, das die Identität der App belegt, bleibt beim Anbieter. Der Tenant bekommt einen funktionierenden Backup-Dienst und gibt die direkte Kontrolle über den Schlüssel ab.

Die Berechtigungen waren von der Anlage her breit. Wie viel von dieser Reichweite der Angreifer tatsächlich nutzte, ist eine separate Frage. Microsoft bestätigte die bösartigen Authentifizierungsversuche von dieser Adresse am 15. Oktober und bezeichnete den Vorfall als aktiven Supply-Chain-Angriff. Das Threat-Intelligence-Team des Unternehmens schätzte, der Angreifer habe wahrscheinlich bestehende Berechtigungen missbraucht, darunter Directory.ReadWrite.All, und beobachtete Aufklärung über die Graph-API sowie Versuche, Zugangsdaten hinzuzufügen.

Was Huntress in den Tenants fand

Huntress sah über die Anmeldeprotokolle hinaus. Der Bericht beschreibt, dass sich Dienstprinzipale von ConnectWise Cloud Management für Exchange Online, Teams und Microsoft Graph in fast 50 der überwachten Tenants selbst Verzeichnisrollen zuwiesen. Die meisten dieser Rollen waren Exchange-Administrator.

In einem Tenant erreichte der Angreifer in etwa fünf Minuten Persistenz. Die App Cloud Management – MS Teams verlieh sich selbst Global Administrator und fügte dann Zugangsdaten zu einem MSP-Verwaltungswerkzeug und zu Huntress' eigener Anwendung hinzu. Ein Zugangsdatum zu einer bestehenden App zu ergänzen verschafft einem Eindringling einen Rückweg, der einen Passwortwechsel, den Widerruf von Sitzungen oder das Ablaufen des Tokens übersteht, das die Tür geöffnet hat.

Die Stichprobe von Todyl sieht anders aus. Das Unternehmen untersuchte neun Fälle und fand ausschließlich Anmeldeaktivität, ohne Belege dafür, dass der Akteur in diesen neun Fällen Konten anlegte, Passwörter änderte, Berechtigungen ergänzte oder über die Backup-App Persistenz aufbaute. Beide Darstellungen können zutreffen. Die Schwere unterschied sich je Tenant, und ebenso, was der Eindringling drinnen tat.

Sieben Identitäten, ein Schalter

ConnectWise meldete die Dienstunterbrechung am 17. Oktober um 05:01 UTC. Die Advisory des Unternehmens nannte „unauthorized access to application identities within the ConnectWise Cloud Backup environment“ und erklärte, man habe den Anwendungszugriff für Partner und Kunden gekappt. The Hacker News berichtete am 18. Oktober, die Aussetzung habe das Backup-Produkt außer Betrieb genommen, während das Unternehmen untersuchte.

Am selben Tag deaktivierte das Unternehmen sieben Applikationsidentitäten:

• Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae
• Cloud Management: 2399d300-6fca-4e6a-a686-399fefe75b83
• Cloud Management – MS Teams: 24205314-2b89-4e07-a2a4-579e898a5640
• Cloud Management – Exchange Online: b78f6a77-d4e5-46fb-87e5-d1648bd02519
• Cloud Management – MS Graph: 0de14c77-b9b0-4137-9360-34878a929827
• Cloud Management – Partner Center: 412dcf96-176d-4b3a-a1b0-4981ad66971e
• Cloud Management – SharePoint Online: b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Diese IDs sind für jeden, der Protokolle auswertet, der praktische Teil der Geschichte. Eine Anmeldung eines Dienstprinzipals, die eine dieser IDs nennt, von einer Adresse, die der Tenant nicht kennt, ist das Ereignis, nach dem zu suchen ist. Eine Identität auf der Liste deckt Partner Center ab, das Portal, über das Microsoft-Partner Kundenkonten verwalten, die Reaktion reichte also über das Backup-Produkt hinaus.

ConnectWise erklärte, es gebe „no indicators to date that Cloud Backup partner backup data has been compromised“. Bestehende Archive seien verschlüsselt und isoliert, hieß es, und nach Wiederherstellung des Dienstes erreichbar. Ein Update vom 18. Oktober um 01:00 UTC besagte, Cloud Backup sei weiterhin down, geplante Sicherungen liefen nicht, und Archive sowie Wiederherstellungsfunktionen seien nicht verfügbar. SaaS Security und Cloud Management seien vorsorglich offline. ConnectWise betonte, die Abschaltung dürfe nicht als Beleg dafür gelesen werden, dass eine Partner- oder Kundenumgebung kompromittiert worden sei.

Was das Widerrufen einer App nicht behebt

Eine Applikationsidentität zu deaktivieren verhindert die Ausgabe neuer Token. Es annulliert keine Token, die bereits in fremden Händen sind. ConnectWise erklärte, zuvor ausgestellte Zugriffstoken könnten bis zu ihrem Ablauf oder ihrer Ungültigmachung weiter nutzbar bleiben, und über separate Identitäten geschaffene Zugangsdaten, Berechtigungen oder Zugänge müssten eigenständig geprüft werden. Todyl machte denselben Punkt: Der Widerruf von Benutzersitzungen beendet keinen anwendungsbasierten Zugriff.

Zu Microsofts empfohlenen Prüfungen gehören Anmeldeprotokolle von Dienstprinzipalen, gefiltert nach der Cloud-Backup-App-ID und nach unerwarteten Quelladressen, dann nach Änderungen an App-Zugangsdaten, OAuth-Zustimmungen und zugehöriger Graph-Aktivität. Diese Empfehlung zeigt auf eine Lücke im Reporting: Die vertraute Ansicht der Benutzeranmeldungen zeigt diesen Verkehr nicht, weil kein Benutzer sich angemeldet hat.

Huntress rät, die betroffenen ConnectWise-Apps zu deaktivieren und die Cloud-Management-Integrationen zu prüfen. Tenants, die das Produkt schon vor der Umbenennung nutzten, führen es möglicherweise noch als „SkyKick Cloud Manager“, ein alter Name in einem Zustimmungsbildschirm, der ein aktuelles Risiko verdeckt.

Managed Service Provider nutzen Cloud Backup, früher SkyKick Cloud Backup, um Postfächer, OneDrive, SharePoint und Teams ihrer Kunden zu schützen. Das ist das Produkt bei bestimmungsgemäßem Betrieb, und deshalb erreichte eine einzige Intrusion so viele Organisationen. Eine Anbieteridentität, die in vielen Tenants liegt, gibt dem, der sie stiehlt, einen Schlüssel, der zu jeder Tür gleichzeitig passt. Ein MSP muss nicht nachlässig sein, um exponiert zu sein; Kunde des Werkzeugs zu sein genügt.

Dieselbe Logik gilt für jede Integration, die ein MSP installiert. Backup-, Dokumentations-, PSA- und Fernüberwachungswerkzeuge verlangen häufig breiten, langlebigen Zugriff. Jede ist ein Dienstprinzipal mit einem Geheimnis irgendwo. Nur wenige Organisationen können sie aus dem Gedächtnis auflisten, und noch weniger warnen bei ihren Anmeldungen.

Jemand muss die Dienstprinzipale in jedem Tenant auflisten, für jeden einen Verantwortlichen benennen und ihre Anmeldungen einer Person vorlegen, die eine ungewöhnliche Adresse bemerkt. Eine Applikationsidentität ist ein privilegiertes Konto, sie sollte also auch so geprüft werden.

Vorbehalte

Die Zahlen sind nicht geklärt. Huntress bestätigte mindestens 162 Tenants; die Zahl 173 stammt aus einer späteren Zusammenfassung. Beide sind Untergrenzen aus dem, was die Forscher sehen konnten, und keine endgültige Bilanz. Das Ausmaß eines möglichen Datendiebstahls ist unbekannt.

Kein Angreifer ist öffentlich benannt. Die Methode des Erstzugriffs ist unbekannt, und ConnectWise hat nicht gesagt, wie die Anbieter-Zugangsdaten erlangt wurden. Spekulationen darüber sind derzeit Vermutungen.

ConnectWises Aussage, es gebe keine Hinweise auf eine Kompromittierung von Backup-Daten, stammt vom Unternehmen selbst und wurde während laufender Untersuchungen veröffentlicht. Keine unabhängige Stelle hat sie bestätigt.

„unauthorized access to application identities within the ConnectWise Cloud Backup environment“ — ConnectWise, Trust-Advisory, 17. Oktober 2026

Worauf zu achten ist

Der Zeitplan für die Wiederherstellung ist der erste offene Punkt. ConnectWise hat keinen genannt, und bis dahin arbeiten Partner ohne geplante Sicherungen und ohne Wiederherstellungszugriff. Das ist ein Geschäftsrisiko, getrennt von der Intrusion, und es wächst mit jedem Tag, an dem der Dienst ausfällt.

Der zweite Punkt ist die Offenlegung. Microsoft hat die Authentifizierungsversuche bestätigt, aber keine eigene Tenant-Zahl genannt. ConnectWise hat die deaktivierten Identitäten bestätigt, nicht aber den Weg dorthin. Beide Unternehmen könnten die Abfolge ergänzen, und keines hat es getan.

Der dritte ist, was Partner finden, wenn sie nachsehen. Vor der Abschaltung ausgestellte Token laufen nach ihrem eigenen Zeitplan ab, und Zugangsdaten, die anderen Anwendungen hinzugefügt wurden, tauchen in keinem ConnectWise-Advisory auf. Die Organisationen, die das gut beantworten, sind jene, die bereits ein Verzeichnis ihrer Dienstprinzipale hatten. Alle anderen bauen jetzt eines auf.

Titelbild: Microsoft-Rechenzentrum in Middenmeer, Niederlande, von Hay Kranen, CC BY 4.0, via Wikimedia Commons. Das Foto zeigt Microsoft-Cloud-Infrastruktur, keine Anlage von ConnectWise.