ConnectWise schorst cloudservices nadat aanvallers misbruik maakten van een gecompromitteerde credential om toegang te krijgen tot Microsoft 365-omgevingen van klanten. De leverancier zet daarom meerdere onderdelen van zijn dienstverlening tijdelijk uit, terwijl het onderzoek loopt en mitigaties worden doorgevoerd.
Voor MSP’s en organisaties die afhankelijk zijn van ConnectWise-tools kan dit directe impact hebben op back-ups, monitoring en beheer. Tegelijk benadrukt ConnectWise dat back-ups versleuteld blijven en dat er geen aanwijzingen zijn dat de back-updata zelf is aangetast. Toch blijft controle van de Microsoft 365-inrichting nodig.
Wat is er gebeurd met de ConnectWise-credentials?
Volgens ConnectWise begon het incident met een onbevoegde toegang tot application identities binnen de ConnectWise Cloud Backup-omgeving. Naar aanleiding daarvan werd de Cloud Backup-dienst (voorheen SkyKick) op 17 oktober tijdelijk uitgeschakeld, ongeveer 12 uur nadat de verdachte activiteit werd vastgesteld en onderzocht.
De kern van het probleem zat niet in wat een klant lokaal deed, maar in het feit dat de aanvallers binnen de ConnectWise-cloudomgeving toegang kregen tot identiteiten die door de dienst worden gebruikt. Hierdoor kon de dreiging door Microsoft 365 tenants heen bewegen.
ConnectWise schorst cloudservices: welke onderdelen gaan uit?
ConnectWise breidde de containmaatregelen uit toen het de dag erna besloot ook andere diensten uit te schakelen. Daarbij gaat het om:
- SaaS Security
- Cloud Management
Deze stap was bedoeld om verdere risico’s te beperken en om de juiste mitigaties te implementeren. ConnectWise geeft aan dat de back-updata versleuteld en beschermd is, en dat er geen bewijs is dat die back-ups zijn gecompromitteerd.
Wel meldt het bedrijf dat de maatregel gevolgen heeft voor geplande back-ups, archief-toegang en restores. Ook onderdelen rond SaaS Security monitoring en alerting en Cloud Management (user- en licentiebeheer) kunnen tijdelijk minder goed of niet beschikbaar zijn.
Impact op klanten: encryptie is geen volledige garantie
Hoewel ConnectWise stelt dat de back-ups beschermd blijven, benadrukken security-leveranciers dat organisaties zelf verantwoordelijk blijven voor herstelacties binnen hun eigen Microsoft 365-tenant. In de praktijk draait het dan om de vraag: is er configuratie gewijzigd of is er persistentie aangebracht?
Een veelvoorkomende misvatting is dat Microsoft automatisch configuraties zou terugzetten of dat herstel eenvoudig zou zijn. Dat is volgens betrokken beveiligingsstemmen niet vanzelfsprekend. Daarom blijft tenantcontrole essentieel, ook als back-upbestanden intact lijken.
Wat zegt Huntress over de aanval (M365-omvang en timing)?
Beveiligingsbedrijf Huntress heeft de aanval nader geanalyseerd. Het stelt dat de gecompromitteerde Cloud Backup-credential werd gebruikt om op 15 oktober toegang te krijgen tot Microsoft 365 tenants.
In die periode zag Huntress tekenen dat de identiteit inlogde bij 162 Microsoft 365 tenants tussen 15 en 16 oktober. Opvallend is dat het om authenticatie vanuit Microsoft’s eigen sign-in logging gaat: de login lijkt te komen van een credentialtype dat in de eigen vendor-tenant leeft. Daardoor kan, volgens Huntress, het gedrag niet het resultaat zijn van iets dat een klant in de eigen omgeving heeft gedaan.
De herkomst van het misbruik wordt gekoppeld aan een zelfde IP-adres dat eerder werd ingezet voor password spraying en geautomatiseerde sign-in pogingen tegen meerdere tenants van een juridische sector. Huntress beschrijft dat er ook een fase was waarin het proces vanuit Microsoft’s interne cloudnetwerk liep.
Global Administrator: Teams-app kreeg rechten en draaide scripts
In één specifieke klanttenant zag Huntress dat de ConnectWise Cloud Management app voor Microsoft Teams zichzelf op 15 oktober toevoegde aan de Global Administrator-rol. Vervolgens werd een Python-script gedraaid dat onder meer nieuwe client secrets toevoegde aan een MSP-managementapp en aan een applicatie die door Huntress werd gebruikt.
Dit gebeurde ongeveer tweeënhalf uur vóórdat de eerste zichtbare sign-ins vanuit het verdachte IP-adres plaatsvonden. Huntress zegt dat het niet met zekerheid heeft vastgesteld dat beide fases door dezelfde actor werden uitgevoerd, maar de uitkomst is wel dat de apps en tokens die worden gebruikt voor beheer functies kunnen openstellen.
Er is brede tenanttoegang gemeld
Tegen 17 oktober meldde Huntress dat het sign-in gedrag van het aanvallers-IP werd gezien in bijna 1.000 Entra tenants. Daarvan zouden meer dan 300 inlogpogingen succesvol zijn geweest.
Belangrijk nuance: een succesvolle inlog betekent niet automatisch toegang tot alles. In tenants waar de relevante ConnectWise service principal niet aanwezig was, konden aanvallers niet verder komen.
Meerdere Microsoft 365-apps mogelijk misbruikt
Huntress geeft ook aan er sterke aanwijzingen zijn dat de dreiging niet alleen Cloud Backup raakte, maar mogelijk ook andere ConnectWise-gerelateerde applicaties binnen Microsoft 365 heeft misbruikt. Daarbij noemt het bedrijf:
- Cloud Management (relevant binnen de context van Exchange Online)
- Microsoft Teams
- SharePoint Online
ConnectWise meldt dat deze drie toepassingen ondertussen zijn uitgeschakeld, passend bij de containmaatregelen.
Waarom herstel niet alleen bij de leverancier ligt
ConnectWise stelt dat het de aanval heeft gestopt. Tegelijk blijft het voor bedrijven moeilijk om uit te sluiten dat er in de Microsoft 365-tenant dingen zijn veranderd. Denk aan:
- wijzigingen in configuraties
- het toevoegen van nieuwe secrets of app-toegang
- het installeren van routes voor hernieuwde toegang
ConnectWise heeft informatie gedeeld over de IP-adressen die in de intrusie zijn gebruikt. Daarnaast heeft het bedrijf richtlijnen gepubliceerd voor MSP’s om hun Microsoft 365-omgevingen te beoordelen.
Praktische aandachtspunten voor MSP’s en beheerders
Als je ConnectWise-diensten gebruikt (zoals Cloud Backup, SaaS Security of Cloud Management), dan is het verstandig om niet alleen te wachten op herstel. Maak een korte checklijst en pak die snel op:
- Controleer login- en sign-in patronen in Entra-id en Microsoft 365 logs, met focus op de door ConnectWise genoemde IP’s en verdachte tijdvakken.
- Beoordeel app- en toestemmingstoegang voor Teams/Exchange/SharePoint waar ConnectWise-apps zijn betrokken.
- Check op rolwijzigingen, zoals veranderingen richting Global Administrator-achtige bevoegdheden.
- Verifieer back-up- en restore-procedures wanneer de services weer draaien, zodat je niet alleen data “hebt”, maar ook kunt terugzetten.
Wil je breder begrip van hoe incidenten rondom gecompromitteerde MSP-toegang kunnen verlopen? Lees dan ook wat je nu kunt doen na gecompromitteerde ConnectWise toegang.
Wat betekent dit voor planning en beschikbaarheid?
Omdat ConnectWise cloudservices heeft uitgeschakeld, kunnen geplande activiteiten zoals back-ups, archivering en restores vertraging oplopen. Ook het detecteren, monitoren en alarmeren via SaaS Security kan minder beschikbaar zijn zolang de diensten uit staan.
Daarnaast kan Cloud Management impact hebben op user- en licentiebeheer. Organisaties doen er daarom goed aan om hun operationele planning te herzien tot er een herstelmoment bekend is.
Context: vaker misbruik via MSP-ecosystemen
Deze casus past in een bredere trend: aanvallers zoeken niet alleen naar “losse” eindpunten of gebruikersaccounts, maar richten zich op de schakels waarmee MSP’s hun klanten beheren. Daardoor kan één gecompromitteerde credential of app-toegang doorwerken naar meerdere tenants.
Eerder zagen we bijvoorbeeld ook incidenten waarbij credentials en toegangsketens via software supply chain of management tooling een rol speelden. Voor vergelijkbare risico’s is FortiGate-inbraak via PeerStitch een nuttig achtergrondartikel om te begrijpen hoe implantatie en misbruik in beheeromgevingen kan doorwerken.
Conclusie
ConnectWise schorst cloudservices na een aanval waarbij een gecompromitteerde applicatie-identiteit toegang kreeg tot Microsoft 365-tenantomgevingen. De maatregel raakt niet alleen back-ups, maar ook SaaS Security en Cloud Management, waardoor monitoring en beheerfuncties tijdelijk kunnen wegvallen.
Voor organisaties die ConnectWise gebruiken is de belangrijkste boodschap: wacht niet alleen op herstel. Controleer actief de Microsoft 365-inrichting op tekenen van configuratiewijzigingen of extra persistentie, ook als back-updata versleuteld blijft. Daarmee verklein je de kans dat de dreiging na herstart opnieuw kan toeslaan.
Bron: https://www.securityweek.com/connectwise-suspends-cloud-services-in-response-to-cyberattack/
