ConnectWise Cloud Backup ist ein Cloud-Dienst für Sicherung und Wiederherstellung, der sich an Managed Service Provider richtet und deren Kundendaten in Microsoft 365 oder Google Workspace schützen soll. Für diese Aufgabe erhält die Anwendung weitreichenden Zugriff auf Postfächer, OneDrive, SharePoint, Teams und Verzeichnisdaten in jedem Tenant, in dem sie installiert ist.
„Die Zugangsdaten der App sind in feindlicher Hand", sagte der Sicherheitsforscher Jonathan Semon von Huntress. Sie seien am 15. Oktober zwischen 06:13 und 08:34 UTC von der IP-Adresse 144.172.64[.]128 genutzt worden, um Microsoft-Graph-Tokens in Kundentenants zu erlangen. Der Akteur habe sich in sortierter GUID-Reihenfolge und im Abstand von wenigen Sekunden durch die Tenants bewegt, was auf ein Skript hindeute, das eine Zielliste abarbeite.
In den beobachteten Fällen authentifizierte sich der Angreifer mit eigenem Werkzeug gegenüber der Anwendung — analog zum regulären Backup-Dienst — und erhielt dabei Tokens mit den bestehenden Berechtigungen der App. Wer diese Tokens besitzt, kann dieselben Postfächer, Dateien und Verzeichnisdaten lesen wie der Sicherungsdienst selbst.
Dieselbe IP-Adresse war laut Huntress am 13. und 14. Oktober 2026 an Password-Spraying gegen vier Tenants von Anwaltskanzleien beteiligt; erfolgreiche Benutzeranmeldungen wurden in der eigenen Telemetrie jedoch nicht festgestellt.
In mindestens einem Partner-Tenant fand das Unternehmen eine separate ConnectWise-Anwendung, die sich selbst Global-Administrator-Rechte zuwies und weiteren vertrauenswürdigen Anwendungen in dieser Umgebung Zugangsdaten hinzufügte. „Die ConnectWise Cloud Management App für Microsoft Teams (Anwendungs-ID 24205314-2b89-4e07-a2a4-579e898a5640) fügte sich selbst der Rolle Global Administrator hinzu und führte anschließend ein Python-Skript aus (User-Agent Python-urllib/3.12), das zwei weitere Anwendungen im Tenant veränderte: eine MSP-Verwaltungsanwendung und Huntress’ eigene Anwendung (Huntress Security Platform), wobei beiden neue Client Secrets hinzugefügt wurden", erläuterte Semon.
„Die beiden Anwendungen, die neue Secrets erhielten, sind vertrauenswürdige, privilegierte Werkzeuge. Ein Zugangsdatum zu einer MSP-Verwaltungsanwendung hinzuzufügen, kann den Zugriff über diesen einen Tenant hinaus ausdehnen, weil solche Anwendungen häufig auch in den Tenants der MSP-Kunden freigegeben sind. Zugangsdaten für die Anwendung eines Sicherheitswerkzeugs geben dem Inhaber alles, was dieses Werkzeug darf." Damit reicht das Risiko über das Konto des Anbieters hinaus.
Todyl beobachtete in einer eigenen Analyse ebenfalls, wie sich eine unbefugte Partei als Anwendung ConnectWise Cloud Backup gegenüber Microsoft Graph authentifizierte. „Der Zugriff erbte die bestehende Zustimmung der App, die Lese- und Schreibzugriff auf E-Mails und Anhänge (vollen Postfachzugriff über Exchange Web Services), OneDrive- und SharePoint-Dateien sowie Teams-Chats erlaubt, einschließlich der Möglichkeit, Daten wiederherzustellen", sagte Nicholas Koken, Leiter Detection Engineering bei Todyl.
„Das Widerrufen von Benutzersitzungen beendet diesen Zugriff nicht. Das Deaktivieren der App in einem Tenant verhindert dort die Ausgabe neuer Tokens, bereits ausgestellte Tokens bleiben jedoch bis zu 90 Minuten gültig. Jeder Tenant, in dem die App weiterhin aktiviert ist, bleibt gefährdet, bis ConnectWise die Zugangsdaten rotiert", so Koken.
ConnectWise erklärte, es gebe keine Hinweise darauf, dass Sicherungsdaten von Cloud-Backup-Partnern kompromittiert wurden. In einem separaten Hinweis bestätigte das Unternehmen unbefugten Zugriff auf Anwendungsidentitäten in der Umgebung von ConnectWise Cloud Backup; der Anwendungszugriff sei abgeschaltet worden, während „Untersuchung und Behebungsmaßnahmen weiterhin laufen".
Für die Suche nach Kompromittierungsindikatoren empfiehlt ConnectWise folgendes Vorgehen:
- Im Microsoft Entra Admin Center zu Monitoring → Anmeldeprotokolle wechseln, den Reiter für Dienstprinzipal-Anmeldungen wählen und nach der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae filtern. Der standardmäßig geöffnete Reiter für Benutzeranmeldungen zeigt die nötigen Informationen nicht an.
- In der Spalte mit den IP-Adressen Authentifizierungsaktivität prüfen, die von Adressen außerhalb der erwarteten Microsoft-/Azure-Bereiche stammt. Der normale ausgehende Verkehr der Anwendung wurde als private Azure-IPv6-Adresse identifiziert.
- Verdächtige IP-Adresse: 144.172.64[.]128
Huntress weist darauf hin, dass der Sicherungsdienst den weitreichenden Zugriff für seine Aufgabe benötigt und ein Angreifer mit dessen Zugangsdaten dieses Zugriffsniveau in jedem Tenant erbt, in dem die App installiert ist. Je nach Berechtigungen könne das Postfächer, OneDrive- und SharePoint-Dateien, Teams-Daten und Verzeichnisinformationen umfassen, vieles davon im Besitz der Endkunden. Ein Teil dieses Zugriffs, etwa Verzeichnisabfragen über Microsoft Graph, hinterlasse keine Protokollspur — deshalb solle sofort gehandelt werden, statt auf Belege für einen Zugriff zu warten.
Empfohlen wird, die Anwendung zu deaktivieren, bis ConnectWise das Zurücksetzen aller Zugangsdaten bestätigt, die Microsoft-Graph-Aktivitätsprotokolle zu aktivieren, seit dem 13. Oktober 2026 hinzugefügte Zugangsdaten zu prüfen und die Entra-Audit-Protokolle daraufhin zu kontrollieren, ob sich ConnectWise- oder SkyKick-Anwendungen selbst einer Verzeichnisrolle hinzugefügt haben.
Microsoft erklärte auf X, man verfolge einen „aktiven Supply-Chain-Angriff, bei dem ein Bedrohungsakteur die vertrauenswürdige OAuth-App der Backup-Anwendung ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), vormals SkyKick Backup, kompromittiert hat, um Zugriffstokens über Kundentenants hinweg zu erlangen". Der Akteur habe vermutlich zuvor von Kunden erteilte Berechtigungen missbraucht, darunter hoch privilegierte wie Directory.ReadWrite.All. „Am 15. Oktober 2026 beobachteten wir breit gestreute erfolgreiche Dienstprinzipal-Authentifizierungen von der IP-Adresse 144.172.64[.]128", so Microsoft. Die Folgeaktivität habe Erkundung über die Microsoft-Graph-API und Versuche umfasst, dem zugehörigen Dienstprinzipal in Zieltenants weitere Zugangsdaten hinzuzufügen, um direkten Zugang als Hintertür zu behalten. Sicherheitsteams sollten Dienstprinzipal-Anmeldungen von unbekannten IP-Adressen, Änderungen an App-Zugangsdaten sowie OAuth-Zustimmungsaktivität im Zusammenhang mit der genannten AppId prüfen.
Parallel dazu haben Googles Mandiant und die Google Threat Intelligence Group gemeinsam mit dem ManageEngine Threat Analysis Lab eine „kurzlebige Lieferketten-Manipulation" der Update-Infrastruktur von AOMEI Backupper beschrieben, einer Software für Datensicherung, Festplattenklonen und Notfallwiederherstellung. Ziel war es, klassische Schutzmechanismen zu umgehen und Schadsoftware wie CROSSROAD und SHINYROAD auszuliefern. „Der Bedrohungsakteur führte wiederholte, kurze Manipulationen der Konfiguration auf den AOMEI-Ursprungsservern durch", erklärte Google. Jedes Manipulationsfenster sei nur fünf bis zehn Minuten aktiv geblieben, bevor wieder die authentischen Versionen ausgeliefert wurden. In diesen kurzen Fenstern änderte der Akteur die Einstellungsdatei für Updates auf dem Update-Server, sodass die Software ein bösartiges ZIP-Paket von angreiferkontrollierten Servern statt legitimer Aktualisierungen lud.
Das ZIP-Archiv enthält CROSSROAD, einen ersten Downloader, der die Umgebung prüft und Folgenutzlasten bereitstellt. Er richtet zudem Persistenz über geplante Aufgaben ein, um per DLL-Sideloading SHINYROAD auszurollen — ein modulares Backdoor-Framework für verdeckte Command-and-Control-Kommunikation.
Die Kampagne fand zwischen April und Juli 2026 statt und wird einem bislang nicht dokumentierten Cluster mit der Bezeichnung UNC7017 zugeschrieben. Es ist das erste Mal, dass eine solche Kompromittierung in kurzen Intervallen statt als dauerhafte, statische Veränderung der Server abläuft. Betroffen waren den Einschätzungen zufolge Organisationen aus sehr unterschiedlichen Branchen, darunter IT-Dienstleistungen, Telekommunikation und Hochschulbildung, in Australien, Brasilien, Indien, Pakistan, Portugal, Singapur, Südafrika, Spanien, der Schweiz, der Türkei und den USA.