黑客利用被入侵的 ConnectWise 凭证登录 173 个 Microsoft 365 租户

网络安全研究人员就一项正在进行的活动发出警报：未知威胁行为者滥用属于 ConnectWise Cloud Backup（前身为 SkyKick）的一个被入侵的 Microsoft 365（M365）凭证，未经授权访问客户的 M365 环境。

ConnectWise Cloud Backup 是一个基于云的备份和恢复服务，专为托管服务提供商（MSP）构建，用于保护其客户的 Microsoft 365 或 Google Workspace 数据。为完成任务，该应用被授予对每个安装它的租户中邮箱、OneDrive、SharePoint、Teams 和目录数据的广泛访问权限。

Huntress 表示，它已观察到使用被入侵的厂商凭证在 173 个合作伙伴/客户租户中确认的未经授权登录。该事件影响每个安装了该应用的组织，且该凭证对应用获得同意的每个租户都有效。

"该应用的凭证已落入敌手，"安全研究员 Jonathan Semon 表示，"它于 10 月 15 日 06:13 至 08:34 UTC 期间，从 144.172.64[.]128 被用于在客户租户中获取 Microsoft Graph 令牌。攻击者按排序的 GUID 顺序在租户间移动，间隔几秒，这表明是一个根据目标列表运行的脚本。"

在观察到的攻击中，对手使用自己的工具对应用进行身份验证，方式类似于备份服务，并以应用现有权限获取令牌。鉴于该应用拥有访问客户数据的广泛权限，拥有令牌的攻击者可以读取备份服务所能读取的邮箱、文件和目录数据。

Huntress 表示，同一 IP 地址在 2026 年 10 月 13 日和 14 日对四家律师事务所租户进行了密码喷洒，尽管它表示在其遥测中未检测到成功的用户登录。

该网络安全公司表示，在至少一个合作伙伴租户中，它发现另一个 ConnectWise 应用为自己分配了全局管理员权限，并向该环境内的其他受信任应用添加凭证，从而开辟了通往客户环境中其他特权应用的路径。这实际上将风险扩展到厂商账户之外。

"用于 Microsoft Teams 的 ConnectWise Cloud Management 应用（应用程序 ID 24205314-2b89-4e07-a2a4-579e898a5640）将自己添加到全局管理员角色，然后运行一个 Python 脚本（User-Agent Python-urllib/3.12），修改了租户中的另外两个应用：一个 MSP 管理应用和 Huntress 自己的应用（Huntress Security Platform），为两者都添加了新的客户端密钥，"Semon 解释道。

"收到新密钥的两个应用是受信任的特权工具。向 MSP 管理应用添加凭证可以将访问扩展到单个租户之外，因为这些应用通常被同意纳入 MSP 客户的租户中。安全工具应用上的凭证赋予持有者该工具被允许执行的一切操作。"

Todyl 在类似的分析中表示，它检测到一个未经授权的第三方以 ConnectWise Cloud Backup 应用的身份对 Microsoft Graph 进行身份验证。

"该访问继承了应用现有的同意，允许对邮件和附件（通过 Exchange Web Services 进行完整邮箱访问）、OneDrive 和 SharePoint 文件以及 Teams 聊天进行读写访问，包括恢复数据的能力，"Todyl 检测工程负责人 Nicholas Koken 表示。

"撤销用户会话并不能终止这种访问。在租户中禁用该应用会阻止在那里签发新令牌，但已签发的令牌在最长 90 分钟内仍然有效。在 ConnectWise 轮换凭证之前，任何仍启用该应用的租户都保持暴露状态。"

针对此事件，ConnectWise 已采取措施关闭 Cloud Backup 应用访问，直至另行通知。该公司表示，尚未发现 Cloud Backup 合作伙伴备份数据被入侵的证据。它还分享了以下查找入侵指标的步骤：

• 在 Microsoft Entra 管理中心，导航到监控 → 登录日志，选择服务主体登录选项卡，并按应用程序 ID 506e08f9-6e9a-4da4-942b-a099a03644ae 筛选。
• 默认的用户登录选项卡不会显示所需信息。
• 在 IP 地址列中，审查来自预期 Microsoft/Azure 范围之外 IP 地址的身份验证活动。该应用的正常出口已被识别为 Azure 私有 IPv6。
• 可疑 IP 地址：144.172.64[.]128

"备份服务需要广泛访问才能完成其工作，使用其凭证的攻击者将继承安装该应用的每个租户的该级别访问权限，"Huntress 解释道。

"根据租户中的权限，这可能包括邮箱、OneDrive 和 SharePoint 文件、Teams 数据和目录信息，其中大部分属于您的客户。其中一些访问，例如通过 Microsoft Graph 进行的目录读取，不会留下审计痕迹，这就是为什么我们建议现在采取行动，而不是等待访问证据。全部潜在影响取决于每个租户中涉及的权限。"

建议用户在 ConnectWise 确认所有凭证已重置之前禁用该应用，启用 Microsoft Graph 活动日志，审计自 2026 年 10 月 13 日以来添加的任何新凭证，并检查 Entra 审计日志中 ConnectWise 或 SkyKick 应用将自己添加到目录角色的情况。

这一进展之际，Google 的 Mandiant 和 Google Threat Intelligence Group 以及 ManageEngine Threat Analysis Lab 详细描述了属于 AOMEI Backupper（一款数据备份、磁盘克隆和灾难恢复软件）更新基础设施的"短暂供应链篡改"，以绕过传统安全防御并投递 CROSSROAD 和 SHINYROAD 等恶意软件。

"威胁行为者对 AOMEI 源服务器进行了反复的短时配置篡改，"Google 表示，"每个篡改窗口仅保持活动五到十分钟，然后恢复为真实版本。在短暂的篡改窗口期间，威胁行为者修改了更新服务器上的更新设置文件，以将软件重定向到从攻击者控制的服务器下载恶意 ZIP 包，而不是合法更新。"

该 ZIP 压缩包包含 CROSSROAD，一个负责环境验证和暂存后续有效载荷的初始下载器。它还旨在建立基于计划任务的持久化，以通过 DLL 侧加载部署 SHINYROAD，一个用于隐蔽命令与控制的模块化后门框架。

该软件供应链入侵活动发生在 2026 年 4 月至 7 月之间，被归因于一个此前未记录的威胁集群，代号 UNC7017。该活动标志着此类入侵首次以短暂间隔发生，而不是在服务器上保持持久、静态的修改。

据评估，该活动影响了横跨广泛行业的组织，包括澳大利亚、巴西、印度、巴基斯坦、葡萄牙、新加坡、南非、西班牙、瑞士、土耳其和美国的 IT 服务、电信、高等教育及相关实体。

一起活跃的供应链攻击

Microsoft 在 X 上的一篇帖子中表示，它正在追踪"一起活跃的供应链攻击，其中一名威胁行为者入侵了备份应用 ConnectWise Cloud Backup（AppId：506e08f9-6e9a-4da4-942b-a099a03644ae，前身为 SkyKick Backup）的受信任 OAuth 应用，以获取跨客户租户的访问令牌"。

这家科技巨头表示，威胁行为者很可能滥用了客户此前授予该应用的权限，包括 Directory.ReadWrite.All 等高度特权权限。

"2026 年 10 月 15 日，我们观察到来自 IP 地址 144.172.64[.]128 的大规模成功服务主体身份验证，"它补充道，"后续活动包括 Microsoft Graph API 侦察，以及尝试在目标租户的相关服务主体上添加额外凭证，以作为后门维持直接访问。"

Microsoft 建议安全团队审查来自未识别 IP 地址的服务主体登录、应用凭证更改，以及与上述 OAuth AppId 相关的 OAuth 授权活动。

ConnectWise 在另一份公告中确认，它已识别出 ConnectWise Cloud Backup 环境中应用身份的未经授权访问。在其"调查和补救工作仍在进行"期间，它已关闭 Cloud Backup 应用访问。

以下是威胁行为者在此次活动中滥用的应用程序 ID：

• ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
• ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83
• ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640
• ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519
• ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827
• ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e
• ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb

"在早期利用和后期利用行为方面，我们观察到可能存在按字母顺序攻击的倾向（我们最有趣的受害者以'A'开头），"Huntress 表示，"虽然所有租户都应受到审查，但这一模式值得分享以确定优先级。"