ConnectWise hat den Zugriff auf seinen Cloud-Backup-Dienst vorübergehend abgeschaltet, nachdem Angreifer auf Anwendungsidentitäten zugegriffen und Microsoft-365-Tenants kompromittiert hatten. Der Dienst, der früher unter dem Namen SkyKick Cloud Backup bekannt war, nutzt in den Kundentenants Service Principals mit weitreichenden Entra-ID-Berechtigungen für Mail, Dateien und Zusammenarbeit.
Laut BleepingComputer und den von Microsoft sowie Huntress beobachteten Aktivitäten begannen die verdächtigen Anmeldungen spätestens am 15. Oktober 2026. Huntress identifizierte mindestens 162 kompromittierte Tenants in der eigenen Umgebung. Die Zugriffe erfolgten unter anderem von der IP-Adresse 144.172.64[.]128 und über automatisierte Skripte, sodass eine benutzerbasierte MFA-Abfrage nicht griff.
In den analysierten Fällen konnten die bereits gewährten Berechtigungen unter anderem den Zugriff auf Exchange-Postfächer, OneDrive-, SharePoint- und Teams-Daten ermöglichen. Huntress beobachtete außerdem bei fast 50 Tenants, dass zugehörige ConnectWise-Cloud-Management-Anwendungen Verzeichnisrollen zugewiesen bekamen. In einem Tenant wurde eine Anwendung sogar zum Global Administrator gemacht und mit zusätzlichen Zugangsdaten versehen.
Administratoren sollten die Service-Principal-Anmeldungen in Entra ID prüfen und nach der ConnectWise-Cloud-Backup-Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae sowie unerwarteten Quelladressen suchen. ConnectWise-Anwendungen sollten nach Möglichkeit deaktiviert, nicht gelöscht werden; zusätzlich sind seit dem 13. Oktober hinzugefügte Secrets, Zertifikate, Rollen und OAuth-Berechtigungen zu kontrollieren. ConnectWise erklärte bislang, keine Hinweise auf eine Kompromittierung der gespeicherten Backup-Archive zu haben; Umfang eines möglichen Datenabflusses und Ursache des Credential-Diebstahls sind noch unklar.