Mit dem chinesischen Staat verbündete Hacker drangen in den Cloud-Backup-Dienst von ConnectWise ein und stahlen Zugangsdaten, über die der Dienst mit den Systemen seiner Kunden verbunden ist, wie Sicherheitsforscher von Microsoft berichten. Mit diesen Zugangsdaten konnten die Angreifer als autorisierte Nutzer in die von Microsoft gehosteten Umgebungen der Kunden gelangen und auf E-Mails und andere Dateien zugreifen.
Microsoft zufolge nutzten die Hacker KI-Agenten, um rund 2.250 Organisationen mit fast 3.000 Anmeldeversuchen pro Minute anzugreifen. Diese Zahl bezieht sich auf die versuchten Anmeldungen; aus den Angaben geht nicht hervor, wie viele davon erfolgreich waren oder welche Organisationen betroffen waren.
So lief der Angriff ab
Die gestohlenen Anwendungszugangsdaten verbinden den Backup-Dienst von ConnectWise mit den Unternehmenskonten seiner Kunden. Sobald die Angreifer in die Microsoft-Umgebung eines Kunden gelangt waren, konnten sie dort auf Daten zugreifen – nicht nur auf die bei ConnectWise gespeicherten Backups.
Microsoft führte das hohe Tempo der Kampagne auf ARTEX zurück, ein Open-Source-KI-Framework, das mit KI-Modellen zusammenarbeitet, um die Widerstandsfähigkeit von Cyberabwehrsystemen zu testen. Den Angaben zufolge kam dieselbe Software kürzlich auch bei einem Angriff auf die Finanzsysteme Südkoreas zum Einsatz. Dort sollen viele Organisationen schwache Sicherheitsvorkehrungen gehabt und keine Multi-Faktor-Authentifizierung genutzt haben. Technische Einzelheiten dazu, wie ARTEX bei einem der beiden Vorfälle eingesetzt wurde, nennt Microsoft nicht.
Reaktion von ConnectWise
ConnectWise erklärte, den Zugang zu seinem Cloud-Backup-System ausgesetzt zu haben und den Vorfall zu untersuchen. Am 22. Oktober teilte das Unternehmen mit, an der Wiederherstellung des Dienstes zu arbeiten. Aus den Angaben geht nicht hervor, welche Kunden betroffen waren, wie viele Konten erfolgreich aufgerufen wurden oder auf welche Daten die Angreifer zugriffen.
Der Bericht von Microsoft zeigt, wie gestohlene Zugangsdaten einen Angriff auf einen Dienstleister zum Einfallstor in die Systeme seiner Kunden machen können. Die gemeldete Zahl der Anmeldeversuche belegt für sich genommen jedoch nicht, dass alle angegriffenen Organisationen auch kompromittiert wurden.
Warum es wichtig ist
Für Unternehmen, deren von Microsoft gehostete Konten mit dem Backup-Dienst von ConnectWise verbunden sind, könnten gestohlene Zugangsdaten den Zugriff auf E-Mails und andere Dateien ermöglichen, die nicht im Backup-System liegen. Da die betroffenen Kunden nicht genannt und keine Angaben dazu gemacht wurden, bei wie vielen Organisationen tatsächlich auf Daten zugegriffen wurde, ist das tatsächliche Ausmaß unklar.
