-
17 oktober 2026 om 12:56 | person_outline 24
Microsoft waarschuwt voor grootschalige supply chain-aanval op cloud back-updienst
Microsoft Threat Intelligence volgt een actuele supply chain-aanval gericht op ConnectWise Cloud Backup, voorheen bekend als SkyKick Backup. Dit platform wordt door managed service providers gebruikt om gegevens van Microsoft 365 en Google Workspace te beveiligen.
De aanvallers wisten toegang te verkrijgen via een vertrouwde back-upapplicatie. Door gebruik te maken van gestolen inloggegevens van ConnectWise Cloud Backup, kregen zij toegang tot 173 Microsoft 365 partner- en klanttenants. Het incident onderstreept het risico dat een enkel gelekt leveranciersgeheim kan veroorzaken, met name wanneer een multitenant-applicatie ruime permissies heeft.
Een gecompromitteerd API-geheim van de leverancier, afkomstig uit de home tenant, werd gebruikt voor ongeautoriseerde toegang tot Microsoft 365. De betreffende Microsoft 365-app, met ID 506e08f9-6e9a-4da4-942b-a099a03644ae, heeft de mogelijkheid om Exchange-mailboxen, OneDrive, SharePoint, Teams en directory-informatie te benaderen voor back-up- en hersteltaken. De aanval maakte gebruik van een app-only identiteit, waardoor gebruikerswachtwoorden en reguliere Multi-Factor Authentication (MFA) prompts overbodig waren.
Op 15 oktober 2026 logde de app vanaf het IP-adres 144.172.64[.]128 in en verkreeg Microsoft Graph-toegangstokens tussen 06:13 en 08:34 UTC. De gebruikte User Agents waren onder meer Python-urllib/3.12 en python-requests/2.31. De aanvaller verwerkte tenant-identificatoren sequentieel met korte intervallen, wat wijst op een geautomatiseerd script.
Een tweede applicatie, ConnectWise Cloud Management – MS Teams (applicatie-ID 24205314-2b89-4e07-a2a4-579e898a5640), heeft zichzelf de rol van Global Administrator toegekend. Deze applicatie verbond vanaf het privé IPv6-bereik fde4:8dba:2600:37ce:6d26:200:a76:*. Met behulp van een Python-script werden nieuwe clientgeheimen toegevoegd aan twee andere vertrouwde applicaties, die naar verluidt in 2028 zouden verlopen. Het uitschakelen van de oorspronkelijke ConnectWise-apps verwijdert reeds geïnstalleerde credentials in andere app-registraties niet.
De aanval vindt plaats tegen de achtergrond van een toename van misbruik van OAuth en service principals. Microsoft raadt aan om Microsoft Entra-auditlogboeken te controleren in plaats van de standaard gebruikersinlogpagina voor dit soort activiteiten. Aanbevolen zoekcriteria omvatten de Cloud Backup-applicatie-ID, het IP-adres 144.172.64[.]128, ongebruikelijke openbare IP-adressen en onverwachte Graph API-activiteit.
Entra-auditlogboeken moeten worden gecontroleerd op ConnectWise- of SkyKick-applicaties die zichzelf toevoegen aan directory-rollen. Alle enterprise-applicaties en app-registraties dienen geïnspecteerd te worden op clientgeheimen of certificaten die na 13 oktober 2026 zijn toegevoegd. Getroffen organisaties wordt geadviseerd de service principals van ConnectWise Cloud Backup en ConnectWise Cloud Management – MS Teams uit te schakelen, maar niet te verwijderen. Het uitschakelen van de applicaties zal geautomatiseerde back-ups pauzeren, maar reeds opgeslagen back-ups blijven behouden.
De aanvaller is publiekelijk niet geïdentificeerd. ConnectWise heeft aangegeven dat er maatregelen zijn genomen en dat er op het moment van het beveiligingsadvies geen indicatie was dat partnerback-upgegevens waren benaderd.
De aanvallers wisten toegang te verkrijgen via een vertrouwde back-upapplicatie. Door gebruik te maken van gestolen inloggegevens van ConnectWise Cloud Backup, kregen zij toegang tot 173 Microsoft 365 partner- en klanttenants. Het incident onderstreept het risico dat een enkel gelekt leveranciersgeheim kan veroorzaken, met name wanneer een multitenant-applicatie ruime permissies heeft.
Een gecompromitteerd API-geheim van de leverancier, afkomstig uit de home tenant, werd gebruikt voor ongeautoriseerde toegang tot Microsoft 365. De betreffende Microsoft 365-app, met ID 506e08f9-6e9a-4da4-942b-a099a03644ae, heeft de mogelijkheid om Exchange-mailboxen, OneDrive, SharePoint, Teams en directory-informatie te benaderen voor back-up- en hersteltaken. De aanval maakte gebruik van een app-only identiteit, waardoor gebruikerswachtwoorden en reguliere Multi-Factor Authentication (MFA) prompts overbodig waren.
Op 15 oktober 2026 logde de app vanaf het IP-adres 144.172.64[.]128 in en verkreeg Microsoft Graph-toegangstokens tussen 06:13 en 08:34 UTC. De gebruikte User Agents waren onder meer Python-urllib/3.12 en python-requests/2.31. De aanvaller verwerkte tenant-identificatoren sequentieel met korte intervallen, wat wijst op een geautomatiseerd script.
Een tweede applicatie, ConnectWise Cloud Management – MS Teams (applicatie-ID 24205314-2b89-4e07-a2a4-579e898a5640), heeft zichzelf de rol van Global Administrator toegekend. Deze applicatie verbond vanaf het privé IPv6-bereik fde4:8dba:2600:37ce:6d26:200:a76:*. Met behulp van een Python-script werden nieuwe clientgeheimen toegevoegd aan twee andere vertrouwde applicaties, die naar verluidt in 2028 zouden verlopen. Het uitschakelen van de oorspronkelijke ConnectWise-apps verwijdert reeds geïnstalleerde credentials in andere app-registraties niet.
De aanval vindt plaats tegen de achtergrond van een toename van misbruik van OAuth en service principals. Microsoft raadt aan om Microsoft Entra-auditlogboeken te controleren in plaats van de standaard gebruikersinlogpagina voor dit soort activiteiten. Aanbevolen zoekcriteria omvatten de Cloud Backup-applicatie-ID, het IP-adres 144.172.64[.]128, ongebruikelijke openbare IP-adressen en onverwachte Graph API-activiteit.
Entra-auditlogboeken moeten worden gecontroleerd op ConnectWise- of SkyKick-applicaties die zichzelf toevoegen aan directory-rollen. Alle enterprise-applicaties en app-registraties dienen geïnspecteerd te worden op clientgeheimen of certificaten die na 13 oktober 2026 zijn toegevoegd. Getroffen organisaties wordt geadviseerd de service principals van ConnectWise Cloud Backup en ConnectWise Cloud Management – MS Teams uit te schakelen, maar niet te verwijderen. Het uitschakelen van de applicaties zal geautomatiseerde back-ups pauzeren, maar reeds opgeslagen back-ups blijven behouden.
De aanvaller is publiekelijk niet geïdentificeerd. ConnectWise heeft aangegeven dat er maatregelen zijn genomen en dat er op het moment van het beveiligingsadvies geen indicatie was dat partnerback-upgegevens waren benaderd.
Facts
1. Microsoft Threat Intelligence volgt een actuele supply chain-aanval met betrekking tot ConnectWise Cloud Backup, voorheen bekend als SkyKick Backup.
2. Managed service providers gebruiken dit platform, dat nu bekend staat als ConnectWise Cloud Backup, om Microsoft 365 en Google Workspace-gegevens te beveiligen.
3. De aanvallers verkregen toegang via een vertrouwde back-upapplicatie, waarbij een gestolen ConnectWise Cloud Backup-inloggegevens werd gebruikt om toegang te krijgen tot 173 Microsoft 365 partner- en klanttenants.
4. Het incident toont het risico aan dat één gelekt leveranciersgeheim kan creëren wanneer een multitenant-app ruime permissies heeft.
5. Een API-geheim van de leverancier, afkomstig van de home tenant van de leverancier, is gecompromitteerd en gebruikt voor ongeautoriseerde Microsoft 365-toegang.
6. De Microsoft 365-app kan toegang krijgen tot Exchange-mailboxen, OneDrive, SharePoint, Teams en directory-informatie voor back-up- en hersteltaken.
7. De aanval maakte gebruik van een app-only identiteit, waardoor gebruikerswachtwoorden en reguliere MFA-prompts niet nodig waren.
8. De aanvallers gebruikten de ConnectWise Cloud Backup-applicatie-ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
9. Op 15 oktober 2026 logde de app in vanaf 144.172.64[.]128 en ontving Microsoft Graph-toegangstokens tussen 06:13 en 08:34 UTC. De gebruikte User Agents waren onder meer Python-urllib/3.12 en python-requests/2.31.
10. De aanvaller verwerkte tenant-identificatoren in volgorde, met intervallen van slechts enkele seconden, wat duidt op een geautomatiseerd script.
11. Een tweede app, ConnectWise Cloud Management – MS Teams (applicatie-ID 24205314-2b89-4e07-a2a4-579e898a5640), heeft zichzelf de rol van Global Administrator toegekend. De tweede applicatie verbond vanaf het privé IPv6-bereik fde4:8dba:2600:37ce:6d26:200:a76:*.
12. Met behulp van een Python-script werden nieuwe clientgeheimen toegevoegd aan twee andere vertrouwde applicaties. De toegevoegde geheimen zouden in 2028 verlopen.
13. Het uitschakelen van de oorspronkelijke ConnectWise-apps verwijdert reeds geïnstalleerde credentials in andere app-registraties niet.
14. De aanval vindt plaats tegen de achtergrond van een toename van misbruik van OAuth en service principals.
15. Microsoft Entra-auditlogboeken, in plaats van de standaard gebruikersinlogpagina, moeten worden gecontroleerd voor dit soort activiteit.
16. Aanbevolen zoekcriteria zijn de Cloud Backup-applicatie-ID, 144.172.64[.]128, ongebruikelijke openbare IP-adressen en onverwachte Graph API-activiteit.
17. Entra-auditlogboeken moeten worden gecontroleerd op ConnectWise- of SkyKick-applicaties die zichzelf toevoegen aan directory-rollen.
18. Alle enterprise-applicaties en app-registraties moeten worden geïnspecteerd op clientgeheimen of certificaten die na 13 oktober 2026 zijn toegevoegd.
19. Getroffen organisaties moeten de service principals van ConnectWise Cloud Backup en ConnectWise Cloud Management – MS Teams uitschakelen, maar niet verwijderen.
20. Uitschakelen van de applicaties pauzeert geautomatiseerde back-ups, maar verwijdert geen reeds opgeslagen back-ups.
21. De aanvaller is publiekelijk niet geïdentificeerd.
22. ConnectWise gaf aan dat er maatregelen waren genomen en dat er geen indicatie was dat partnerback-upgegevens waren benaderd op het moment van het beveiligingsadvies.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord