ConnectWise deaktiviert 7 App-Identitäten und rezitiert Cloud Backup-Zertifikate nach dem Vorfall

Der IT ConnectWise-Management-Software-Anbieter bestätigte, dass es am 17. Oktober 2026 sieben Anwendungsidentitäten und widerrufene Zertifikate im Zusammenhang mit seinem Cloud-Backup-Service nach dem Erkennen von nicht autorisierten Zugriffen, die unbekannten Akteuren erlaubten, diese Anmeldeinformationen zu nutzen, um sich an Microsoft 365 Mieter zu authentifizieren. ConnectWise hat die SaaS Security- und Cloud-Management-Dienste vorübergehend ausgesetzt und die geplanten Backups in Betrieb genommen, obwohl es behauptet, dass bestehende Kopierdateien verschlüsselt bleiben, isoliert und ohne Beweise für bösartigen Zugriff bisher.

Konfirmierte Fakten: ConnectWise deaktivieren Sie die sieben von dem Unternehmen aufgeführten Anwendungsidentitäten und widerrufen Cloud-Backup-Zertifikate am 17. Oktober um 07: 00 UTC; erkannte die Häufigkeit am 14. Oktober durch Überwachung; und sagte, dass Deaktivierungen verhindern neue Authentifizierung durch diese Verbindungen, aber nicht umgekehrte Änderungen bereits innerhalb eines Mieters. Darüber hinaus berichtete das Unternehmen, dass es keine zusätzlichen schädlichen Aktivitäten in den Umgebungen beobachtet hat, die es seit der Umsetzung seiner Minderung überwacht, obwohl es zugibt, dass es nicht direkt den Status der nachgeschalteten Client-Umgebungen sehen kann.

Technischer Kontext und warum dies ernst ist: Die in Microsoft Enter ID (früher Azure AD) registrierten Anwendungen haben Anmeldeinformationen - ob Kundengeheimnisse oder Zertifikate -, die es der Anwendung ermöglichen, Zugriffstoken ohne das Passwort jedes Benutzers anzufordern. Wenn ein Schauspieler eine dieser Anmeldeinformationen bekommt, kann er es für Token austauschen und mit den Berechtigungen handeln, die die Anwendung bereits in einem Mieter hat. Mit den umfangreichen Fähigkeiten, die ConnectWise zu verwalten und zu unterstützen Umgebungen (Zugriff zu Exchange, SharePoint, Teams, Graph, etc.), ermöglicht die Diebstahl einer Anmeldeinformationen vom Lesen von Mailboxen und Dokumenten, neue Anwendungen zu erstellen, Geheimnisse zu bestehenden Anwendungen hinzufügen und Privilegien zu erhöhen, indem Rollen oder Änderungen in der Verzeichniskonfiguration zugeordnet werden.

Externe Forschung und bekannter Umfang: Der Cybersicherheitsanbieter von Huntress berichtete, dass Sitzungsstart-ups im Zusammenhang mit einer IP-Adresse, die mit nicht autorisierten Aktivitäten verbunden ist, mit fast 1.000 Entre-Täter, die von diesem IP aktiv sind, und etwa 300 erfolgreichen Sitzungsstart-ups beobachtet wurden. Huntress weist auch auf gezielte Versuche an Management-Anwendungen bei Exchange Online, Teams und SharePoint hin und bestätigt Missbrauch der Teams App in mindestens einem Mieter. Diese Daten stammen aus ihrer Analyse und stellen keine vollständige Prüfung aller Kunden dar.

Was noch nicht klar ist: ConnectWise weist darauf hin, dass der genaue Mechanismus für die Exposition von Anmeldeinformationen unbekannt ist und dass es derzeit nicht angeben kann, ob eine Produktverwundbarkeit zum Engagement beigetragen hat. Es gibt auch keine öffentliche und vollständige Bestätigung dessen, dass bestimmte Kunden einen dauerhaften Zugang oder eine Exfiltration erlitten haben; das Unternehmen und Dritte untersuchen weiter.

Praktische Auswirkungen auf Organisationen und MSP: 1) vorübergehender Verlust der Fähigkeit, Backups und Pausen in planmäßigen Kopien wiederherzustellen; 2) das Risiko eines dauerhaften unbefugten Zugriffs innerhalb von Mietern, wenn der Schauspieler Geheimnisse oder Rollen hinzugefügt; 3) mögliche Exposition von Post, Dateien, Chats und Verzeichnisdaten nach Berechtigungen der kompromittierten Anwendungen. Bei regulierten oder risikoreichen Sektoren (nationale Sicherheit, Handel usw.) kann die Exposition regulatorische Nichtkonformität und obligatorische Meldungen beinhalten.

Sofortige und konkrete Maßnahmen, die von Managed Managern und Zulieferern zu treffen sind (Besonderheit nach Wirkung):

Nachweis der Reserve: Ab dem 13. Oktober und darüber hinaus vor der Offenlegung von Anmelde- und Prüfungsprotokollen vor der Eingabe von ID und Exchange speichern.

Suche nach verdächtigen Aktivitäten: Überprüfung von Sitzungs-Start- und Audit-Ereignissen durch die Suche nach dem gemeldeten IP (144.172.64.128) und anderen Verpflichtungsindikatoren zwischen dem 13. Oktober und dem aktuellen Datum; Überprüfung von ausgegebenen Token und Nutzern oder Anwendungen mit ungewöhnlicher Aktivität.

Prüfung und Aufnahme von Anwendungsidentitäten: liste alle Anwendungen und Service-Prinzips in jedem Mieter, überprüfen Eigentümer, Geheimnisse und Zertifikate mit Datum der jüngsten Erstellung, und rezitieren oder rotieren unbekannte Geheimnisse. Halten Sie die von ConnectWise gemeldeten betroffenen Verbindungen bis zur weiteren Benachrichtigung deaktiviert.

Rollen und Berechtigungen überprüfen: Audit-Beauftragungen von privilegierten Rollen (Global Admin, Application Administrator, Cloud Application Administrator), Reverse unautorisierte Änderungen und Limits, die Berechtigung für Anwendungen gewähren können. Überprüfen Sie die Zustimmung der Delegation und OAuth2PermissionGrants.

Beharrlichkeit und böswilliges Verhalten finden: Überprüfen Sie die jüngste Erstellung von Anwendungen, Client-Geheimnisse hinzugefügt, Post-Führungsregeln, Transportregeln und Postfach-Delegationen; überprüfen Politik Kreation / Editing Aktivitäten und geänderte Eigentümer.

Ausbau der Plattformsteuerungen: Anwendung Management-Richtlinien anwenden, die Kunden-Geheimnisse einschränken und ihre Dauer einschränken, Conditional Access für Workload-Identities berücksichtigen und ID-Schutz eingeben, um riskante Principals zu markieren. Microsoft veröffentlicht Anleitungen zu Anwendungsobjekten und Service-Prinzips, die in diesen Schritten helfen: App-Objekte und Service-Prinzips (Microsoft) und auf Arbeitslastidentitäten: Workload-Identität Föderation (Microsoft).

Kommunikation und Koordination: MSP sollte betroffene Kunden sofort informieren, Verpflichtungsindikatoren teilen und bei der Überprüfung ihrer Mieter zusammenarbeiten. Wenn Verdacht auf den tatsächlichen Zugriff oder die Exfiltration besteht, skaliert einfallende Antwortteams und informiert die zuständigen Behörden entsprechend der geltenden Regelung.

Mittelfristige Minderungsempfehlungen: Reduktion von Berechtigungen für Anwendungen (Vorbehalt von weniger Privilegien), Begrenzung, die Anwendungen erstellen oder verwalten können, Anwendung Konsens Governance, rotieren Zertifikate und Geheimnisse mit kurzen Kadenzen, und betrachten Erkennungslösungen, die ungewöhnliche Service-Aktivisten überwachen. Microsoft Einkommende Schutzwerkzeuge und Anwendungsmanagement-Politiken helfen, Missbrauch zu mindern, wenn richtig konfiguriert.

Schlussfolgerung: Die Anzeige von Bewerbungsinformationen ist ein Vektor, der die Notwendigkeit vermeidet, menschliche Anmeldeinformationen zu stehlen und erleichtert eskalieren und Beharrlichkeit in mehreren Mietern. Fast bei der Bewahrung von Beweisen zu handeln, die Überprüfung von Dienstleitungen und Widerruf / Verdrehung von Anmeldeinformationen ist wichtig, und Organisationen müssen davon ausgehen, dass jeder Antrag mit umfassenden Genehmigungen eine vollständige Prüfung verdient, bis es bestätigt wird, dass es keinen Missbrauch gab. Für technische Dokumentationen und spezifische Identitätsmanagementschritte sehen Sie die verknüpften Microsoft-Leitungen und halten Sie die offiziellen Updates von ConnectWise in Ihrem Warn- und Sicherheitszentrum im Blick: Sicherheitsberater von ConnectWise.