ConnectWise Cloud Backup凭证滥用波及M365

资讯专家

事件概况
ConnectWise 在调查异常活动后暂停了 Cloud Backup（原 SkyKick）服务，随后又暂停 SaaS Security 和 Cloud Management。公司称在 Cloud Backup 环境中发现对应用身份的未授权访问，为保护合作伙伴及客户关闭 Cloud Backup 应用访问；次日为实施缓解措施关闭另外两项服务。目前服务仍未恢复，影响计划备份、归档访问与恢复、SaaS 安全监控告警、云管理用户与许可管理，未给出恢复时间表。ConnectWise 表示客户备份仍加密并受保护，未发现其被未授权访问的证据。

凭证滥用与 M365 租户访问
Huntress 称，被滥用的 Cloud Backup 凭证于 10 月 15 日被用于访问 Microsoft 365 租户。Cloud Backup 身份在 10 月 15 日至 16 日期间登录了 162 个 M365 租户。该凭证类型为 client assertion，位于供应商自己的租户内；客户环境中的操作无法产生该凭证。

相关活动与 10 月 13 日至 14 日针对四家律师事务所租户的密码喷洒和脚本化登录尝试使用同一 IP。10 月 15 日 06:13 至 08:34 UTC，该应用凭证从 144.172.64[.]128 获取客户租户中的 Microsoft Graph 令牌；攻击者按 GUID 排序在租户间移动，间隔数秒，显示为基于目标列表的脚本行为。

Teams 应用提权与持久化迹象
在一个客户租户中，Huntress 观察到面向 Microsoft Teams 的 ConnectWise Cloud Management 应用于 10 月 15 日将自己加入 Global Administrator 角色，随后运行 Python 脚本，向一个 MSP 管理应用及 Huntress 自身应用添加新的 client secrets。该行为发生在攻击者 IP 首次登录约两个半小时前，且访问来自 Microsoft 内部云网络而非该 IP。Huntress 表示尚未将两个阶段归因于同一操作者。

影响范围与处置
截至 10 月 17 日，Huntress 在近 1,000 个 Entra 租户中发现来自攻击者 IP 的登录活动，其中 300 多次登录成功；但登录成功不一定代表获得访问，缺少相关 ConnectWise 服务主体的租户无法被进入。Huntress 高度确信攻击者还滥用了 ConnectWise Cloud Management 的 Exchange Online、Microsoft Teams 和 SharePoint Online 应用，这三个应用均已被 ConnectWise 关闭。

ConnectWise 已共享入侵所用 IP，并发布针对 MSP 的 Microsoft 365 环境审查指南。CoreView 安全战略副总裁 Kasper Lindgaard 指出，ConnectWise 已阻止攻击，但企业仍需确认威胁行为者未更改 M365 配置或在租户中建立持久化；超过三分之一的 IT 负责人误以为 Microsoft 会自动备份其配置，使此类攻击后的恢复更复杂。