攻击者入侵 Microsoft 365 租户后，ConnectWise 暂停 Cloud Backup 服务

ConnectWise 周六表示，它已禁用七个 ConnectWise 应用身份，同时继续调查一起事件，其中未知威胁行为者未经授权访问了应用身份并入侵了 Microsoft 365 租户。

被禁用的身份如下：

• ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
• ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83
• ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640
• ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519
• ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827
• ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e
• ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb

这家 IT 管理软件提供商表示，它于 2026 年 10 月 17 日 07:00 UTC 采取了该行动，并补充说它还通过撤销所有用户受影响应用连接所使用的证书，暂停了 Cloud Backup 服务。

"禁用受影响的连接可阻止通过这些连接进行新的身份验证；它不会撤销此前在租户内所做的更改，"它表示。

"受影响的共享 Cloud Backup 凭证已不再有效。此前签发的访问令牌在其过期或以其他方式失效之前可能仍可使用。任何通过独立身份建立的未经授权凭证、权限或其他访问，都需要额外的审查和补救。"

ConnectWise 还指出，计划备份未在运行，对受影响备份存档的访问和恢复功能仍不可用。不过，它强调现有存档仍保持加密、隔离和保存状态，且没有证据表明它们被攻击者入侵或访问。

出于谨慎考虑，该公司表示，在完成事件审查期间，它已暂时将 SaaS Security 和 Cloud Management 下线。

此外，该公司透露，它于 2026 年 10 月 14 日通过其"先进的网络安全监控和尽职调查"识别了该问题，促使其启动内部和外部事件调查与响应行动。

"自实施这些缓解措施以来，我们未在我们监控的环境中观察到成功的威胁活动，"它表示，"这一发现不能确定下游客户环境的状态，按设计，我们无法直接观察这些环境。"

在现阶段，尚不清楚是否有产品漏洞导致了应用身份被入侵。ConnectWise 补充说，确切的凭证暴露机制是正在进行的分析的主题。

该攻击尤其危险，因为它允许攻击者滥用应用的凭证来访问客户的 Microsoft 365 环境，而无需单独窃取每个客户的密码。通过使用窃取的应用凭证以该应用身份进行身份验证，攻击者可以根据应用现有权限从 Microsoft Entra ID 请求访问令牌。

根据分配给应用的权限，这可能使攻击者能够访问其他 Microsoft 服务，包括邮箱、SharePoint 文档、Teams 消息和目录信息。

由于 ConnectWise 的应用以广泛权限运行以执行备份和管理任务，凭证被盗使威胁行为者能够以应用本身身份进行身份验证，并通过将其添加到全局管理员角色、向租户中其他受信任应用添加客户端密钥，以及创建新应用并授予其权限来扩大其访问范围。

通过这样做，客户端密钥提供了一种以该应用身份进行身份验证并建立持久化的方式，即使原始被入侵的凭证后来被撤销，也提供了重新获得对被入侵环境访问的替代手段。

第二波定向尝试

"我们最后一次观察到来自原始地址的恶意登录是在 10 月 15 日 08:45 UTC，定向的手动活动持续到当天约 14:20 UTC，"Huntress 首席安全运营分析师 Jon Semon 告诉 The Hacker News。

"ConnectWise 已表示 Cloud Backup 的访问已关闭，如果是这样，通过该服务的活动应该已经停止。然而，如果威胁行为者能够向 Microsoft 租户中的应用添加凭证，这些凭证将让他们保持访问并以该应用身份行事。"

Huntress 表示，自 10 月 15 日以来未发现新的恶意活动，但没有证据表明停止是公开披露的结果。

"我们高度确信威胁行为者还针对了用于 Exchange Online、Microsoft Teams 和 SharePoint 的 ConnectWise Cloud Management 应用，并且我们已确认在一个租户中滥用了 Teams 应用，"Semon 表示，"这些应用似乎尚未被 ConnectWise 禁用，因此可能来自它们的额外活动，我们正在积极调查。"

截至周六晚些时候，Huntress 表示，它在 10 月 15 日从 IP 地址"144.172.64[.]128"发现了"第二波定向尝试"。这些努力针对 16 个租户的狭窄范围，未获成功。这些租户属于政策、国家安全、贸易和关键矿产领域。

"对于新的目标集，第一次扫描针对 SkyKick 应用的 Graph 令牌，发生在 10 月 15 日 09:25:04 至 12:35:50 UTC 之间，"Huntress 表示，"第二次扫描在同一天 13:54:39 至 14:20:24 UTC 之间袭击了相同的租户。这次扫描似乎是手动的，并针对 Exchange Online、SharePoint Online、Teams、Azure Resource Manager、Entra 和 Office 365 Management API。"

总体而言，这家托管安全服务提供商已识别出近 1,000 个 Entra 租户，其登录活动来自与未经授权活动相关的 IP 地址，其中 300 个成功。尽管登录成功，但据称某些租户中缺少服务主体，阻止了威胁行为者访问这些租户。

建议合作伙伴采取以下行动：

• 审查自己的 Microsoft 365 租户和每个托管客户租户，包括具有休眠 SkyKick 连接的环境。
• 验证所列应用连接的状态，并保持受影响应用禁用，直至另行通知。
• 审查 2026 年 10 月 13 日至今跨身份的登录，特别是源自 IP 地址"144.172.64[.]128"的活动。
• 在启动遏制步骤之前保留可用的登录和审计记录。
• 审查应用和用户身份验证、应用凭证和联合信任、目录角色、所有者、同意授权以及最近的策略更改。
• 检查未经授权的邮箱转发、收件箱或传输规则，以及委派邮箱访问。
• 调查在可疑活动期间更改或使用的任何其他身份。

"如果应用凭证被盗，若干 Entra 控制措施可以限制损害，"Huntress 表示，"应用管理策略可以限制或阻止应用注册上的客户端密钥，并限制凭证生命周期。限制谁拥有应用程序管理员和云应用程序管理员角色，可以减少谁可以向应用添加凭证。"

"工作负载身份的条件访问（需要额外许可）可以限制应用允许从何处登录，而 Microsoft Entra ID Protection 可以标记有风险的服务主体。这些都不能替代审查凭证，但它们使植入的密钥更难使用或更容易被发现。"