ConnectWise 暂停云备份服务 因 Microsoft 365 租户被入侵

"禁用受影响的连接可阻止通过这些连接的新身份验证；但不会撤销租户内已进行的更改," 公司说明。

"受影响的共享云备份凭据已不再有效，先前颁发的访问令牌可能在到期或被无效化前仍可使用。任何通过独立身份建立的未经授权的凭据、权限或访问需进一步审查与修复。"

ConnectWise 还指出，计划的备份未在运行，且受影响的备份归档及恢复功能仍不可用。但强调，这些归档已加密、隔离并保存，且没有证据表明它们被攻击者侵入或访问。

为保持谨慎，公司暂时将 SaaS 安全与云管理服务下线，以完成对事件的审查。

公司透露，于 2026 年 10 月 14 日通过 "高级网络安全监控与严谨性" 发现该问题，并启动内部与外部事件调查与响应措施。

"自实施这些缓解措施后，我们未在监控的环境中观察到成功的威胁活动," 公司表示。 "此结论并不说明下游客户环境的状态，因为按设计我们无法直接观察其环境。"

目前尚不清楚是否存在产品漏洞导致应用身份被侵害，涉及的凭据泄露机制仍在持续分析中。

此类攻击尤其危险，因为攻击者可利用应用凭据访问客户的 Microsoft 365 环境，而无需逐一窃取客户密码。通过使用被盗的应用凭据向 Microsoft Entra ID 请求访问令牌，攻击者可依据应用已有的权限获取访问。

根据应用所授予的权限，攻击者可能访问邮箱、SharePoint 文档、Teams 消息及目录信息等 Microsoft 服务。

ConnectWise 的应用拥有广泛的备份与管理权限，被盗凭据使威胁行为者能够以应用身份进行身份验证，并通过将其添加至全局管理员角色、向其他受信任应用添加客户端密钥以及创建新应用并授予权限来扩大访问范围。

这些客户端密钥提供了另一种持久化方式，即使原始被盗凭据被撤销，攻击者仍可通过新创建的凭据继续访问系统。

安全分析师 Jon Semon 在接受《The Hacker News》采访时指出，近期观察到来自原始 IP 地址的恶意登录，活动在当天 14:20 UTC 前持续至手动化攻击为止。

"如果 ConnectWise 已关闭云备份服务，那么该服务的活动应已停止。但若威胁行为者能够在 Microsoft 租户中为应用添加凭据，则仍可继续使用这些凭据进行访问。"

Huntress 表示，自 10 月 15 日以来未发现新的恶意活动，但未看到停摆是由公开披露导致的证据。

"我们对威胁行为者也攻击 ConnectWise 云管理应用（包括 Exchange Online、Microsoft Teams 与 SharePoint）有高度信心，并在某租户确认了 Teams 应用的滥用，" Semon 说。 "这些应用尚未被 ConnectWise 关闭，因此后续活动仍可能发生，我们正积极调查。"

截至周六晚些时候，Huntress 发现来自 IP 地址 "144.172.64[.]128" 的第二波有针对性的尝试，针对 16 个租户，涉及政策、国防、贸易及关键矿产等领域。

"首轮扫描针对 SkyKick 应用的 Graph 令牌，时间在 09:25:04 至 12:35:50 UTC；第二轮同样针对这些租户，时间在 13:54:39 至 14:20:24 UTC，手动且有针对性，涉及 Exchange Online、SharePoint Online、Teams、Azure 资源管理器、Entra 与 Office 365 管理 API。"

总体而言，受管控安全服务提供商已识别近千个 Entra 租户的登录活动，其中约 300 次登录成功。尽管部分租户缺少服务主体，威胁行为者仍未能获取访问权限。

合作伙伴被建议采取以下措施 -