Deaktiviert wurden nach Angaben des Unternehmens folgende Identitäten:

  • ConnectWise Cloud Backup – 506e08f9-6e9a-4da4-942b-a099a03644ae
  • ConnectWise Cloud Management – 2399d300-6fca-4e6a-a686-399fefe75b83
  • ConnectWise Cloud Management – MS Teams – 24205314-2b89-4e07-a2a4-579e898a5640
  • ConnectWise Cloud Management – Exchange Online – b78f6a77-d4e5-46fb-87e5-d1648bd02519
  • ConnectWise Cloud Management – MS Graph – 0de14c77-b9b0-4137-9360-34878a929827
  • ConnectWise Cloud Management – Partner Center – 412dcf96-176d-4b3a-a1b0-4981ad66971e
  • ConnectWise Cloud Management – SharePoint Online – b2b55f5b-7758-4719-8d8f-88ae172e6bdb

„Das Deaktivieren der betroffenen Verbindungen verhindert neue Authentifizierungen über diese Verbindungen; es macht Änderungen, die zuvor innerhalb eines Tenants vorgenommen wurden, nicht rückgängig", erklärte ConnectWise. Die betroffenen gemeinsam genutzten Cloud-Backup-Zugangsdaten seien nicht mehr gültig, zuvor ausgestellte Zugriffstoken könnten jedoch weiterhin nutzbar bleiben, bis sie ablaufen oder anderweitig ungültig gemacht werden. Unbefugte Zugangsdaten, Berechtigungen oder sonstige Zugänge, die über separate Identitäten eingerichtet wurden, erforderten zusätzliche Prüfung und Bereinigung.

Geplante Sicherungen laufen derzeit nicht, der Zugriff auf betroffene Backup-Archive sowie Wiederherstellungsfunktionen stehen nicht zur Verfügung. Bestehende Archive blieben verschlüsselt, isoliert und erhalten; es gebe keine Hinweise darauf, dass sie von den Angreifern eingesehen oder kompromittiert wurden. Aus Vorsicht hat das Unternehmen zusätzlich SaaS Security und Cloud Management vorübergehend offline genommen, bis die Aufarbeitung des Vorfalls abgeschlossen ist.

Aufgefallen war der Vorfall ConnectWise nach eigenen Angaben am 14. Oktober 2026 durch „fortgeschrittene Cybersicherheitsüberwachung und Sorgfalt"; daraufhin wurden interne und externe Untersuchungs- und Reaktionsmaßnahmen eingeleitet. „Seit der Umsetzung dieser Gegenmaßnahmen haben wir in den von uns überwachten Umgebungen keine erfolgreichen Angriffsaktivitäten mehr beobachtet", teilte das Unternehmen mit. „Diese Feststellung sagt nichts über den Zustand nachgelagerter Kundenumgebungen aus, die wir systembedingt nicht direkt einsehen können."

Ob eine Produktschwachstelle zur Kompromittierung der Anwendungsidentitäten beigetragen hat, ist bislang unklar. Der genaue Mechanismus, über den die Zugangsdaten offengelegt wurden, ist Gegenstand einer laufenden Analyse.

Besonders gefährlich ist der Angriffsweg, weil ein Angreifer mit den Zugangsdaten der Anwendung auf die Microsoft-365-Umgebungen von Kunden zugreifen kann, ohne die Passwörter einzelner Kunden stehlen zu müssen. Wer sich mit den entwendeten Anwendungsdaten als diese Anwendung authentifiziert, kann bei Microsoft Entra ID Zugriffstoken auf Basis der bestehenden Berechtigungen der Anwendung anfordern. Je nach zugewiesenen Rechten lässt sich so auf weitere Microsoft-Dienste zugreifen – etwa Postfächer, SharePoint-Dokumente, Teams-Nachrichten und Verzeichnisinformationen.

Da die ConnectWise-Anwendungen für Backup- und Verwaltungsaufgaben mit weitreichenden Berechtigungen arbeiten, kann ein Angreifer seinen Zugriff zusätzlich ausweiten: etwa durch Hinzufügen der Anwendung zur Rolle Global Administrator, durch das Anlegen von Client-Secrets für andere vertrauenswürdige Anwendungen im Tenant sowie durch das Erstellen neuer Anwendungen samt Berechtigungen. Solche Client-Secrets erlauben es, sich als die jeweilige Anwendung zu authentifizieren und Persistenz herzustellen – also auch dann wieder Zugang zu erhalten, wenn die ursprünglich kompromittierten Zugangsdaten später widerrufen werden.

Zum zeitlichen Ablauf äußerte sich Jon Semon, Principal Security Operations Analyst bei Huntress: „Die letzten böswilligen Anmeldungen von der ursprünglichen Adresse haben wir am 15. Oktober um 08:45 UTC beobachtet, gezielte, manuelle Aktivität setzte sich an diesem Tag bis etwa 14:20 UTC fort." Und weiter: „ConnectWise hat erklärt, dass der Zugang zu Cloud Backup abgeschaltet ist; wenn das so ist, sollte Aktivität über diesen Dienst aufgehört haben. Falls der Angreifer jedoch Zugangsdaten zu Anwendungen in Microsoft-Tenants hinzufügen konnte, würden ihm diese weiterhin Zugriff verschaffen und das Handeln im Namen der Anwendung erlauben."

Neue schädliche Aktivität hat Huntress seit dem 15. Oktober nicht festgestellt; es gebe aber keine Belege dafür, dass das Aufhören eine Folge der öffentlichen Bekanntmachung war. „Wir gehen mit hoher Zuversicht davon aus, dass der Angreifer auch die ConnectWise-Cloud-Management-Apps für Exchange Online, Microsoft Teams und SharePoint ins Visier genommen hat, und wir haben den Missbrauch der Teams-App in einem Tenant bestätigt", sagte Semon. „Diese Apps scheinen von ConnectWise nicht deaktiviert worden zu sein, sodass von ihnen weitere Aktivität ausgehen könnte; wir untersuchen das aktiv."

Huntress identifizierte zudem eine „zweite, gezielte Angriffswelle" von der IP-Adresse 144.172.64[.]128 am 15. Oktober. Sie richtete sich gegen einen engen Kreis von 16 Tenants und blieb erfolglos. Die betroffenen Organisationen stammen aus den Bereichen Politik, nationale Sicherheit, Handel und kritische Mineralien. „Für den neuen Zielsatz zielte der erste Durchlauf auf Graph-Token der SkyKick-App und fand am 15. Oktober zwischen 09:25:04 und 12:35:50 UTC statt", so Huntress. „Der zweite Durchlauf traf dieselben Tenants am selben Tag zwischen 13:54:39 und 14:20:24 UTC. Dieser Durchlauf wirkte manuell und richtete sich gegen Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra und die Office-365-Management-APIs."

Insgesamt hat der Managed-Security-Dienstleister knapp 1.000 Entra-Tenants mit Anmeldeaktivität von der mit den unbefugten Zugriffen verbundenen IP-Adresse identifiziert; in 300 Fällen war die Anmeldung erfolgreich. Trotz erfolgreicher Anmeldung habe das Fehlen eines Service Principals in einigen Tenants verhindert, dass der Angreifer dort Zugriff erlangte.

Partnern werden folgende Schritte empfohlen:

  • den eigenen Microsoft-365-Tenant sowie jeden betreuten Kunden-Tenant prüfen, einschließlich Umgebungen mit inaktiven SkyKick-Verbindungen
  • den Status der genannten Anwendungsverbindungen verifizieren und die betroffenen Anwendungen bis auf Weiteres deaktiviert lassen
  • Anmeldungen über alle Identitäten hinweg vom 13. Oktober 2026 bis zum aktuellen Zeitpunkt prüfen, insbesondere auf Aktivität von der IP-Adresse 144.172.64[.]128
  • verfügbare Anmelde- und Audit-Protokolle vor Eindämmungsmaßnahmen sichern
  • Anwendungs- und Benutzerauthentifizierung, Anwendungs-Zugangsdaten und Föderationsvertrauensstellungen, Verzeichnisrollen, Besitzer, Zustimmungserteilungen und jüngste Richtlinienänderungen überprüfen
  • auf unbefugte Postfachweiterleitungen, Posteingangs- oder Transportregeln und delegierte Postfachzugriffe prüfen
  • alle weiteren Identitäten untersuchen, die während verdächtiger Aktivität geändert oder genutzt wurden

Huntress verweist zudem auf Entra-Kontrollen, die den Schaden bei gestohlenen Anwendungs-Zugangsdaten begrenzen: Richtlinien zur Anwendungsverwaltung können Client-Secrets auf App-Registrierungen einschränken oder blockieren und deren Laufzeit begrenzen. Wer die Rollen Application Administrator und Cloud Application Administrator restriktiv vergibt, verringert den Kreis derer, die Anwendungen Zugangsdaten hinzufügen können. Bedingter Zugriff für Workload-Identitäten – der zusätzliche Lizenzierung erfordert – kann einschränken, von wo aus sich eine Anwendung anmelden darf, und Microsoft Entra ID Protection kann riskante Service Principals melden. „Nichts davon ersetzt die Überprüfung von Zugangsdaten, aber es macht ein eingeschleustes Secret schwerer nutzbar oder leichter erkennbar", so Huntress.