遭泄露的 ConnectWise Cloud Backup 凭据被用于登录 Microsoft 365 租户

ConnectWise 在发现与其 Cloud Backup 服务（即前身为 SkyKick 的 Microsoft 365 备份产品）相关的应用身份遭未经授权访问后，已暂停该服务。安全公司 Huntress 和 Todyl 以及 Microsoft 报告称，一名攻击者利用该备份应用的凭据直接向客户的 Microsoft 365 租户进行身份验证并获取 Microsoft Graph 访问令牌，从而继承了客户此前已授予该应用的广泛权限。据 BleepingComputer 和 The Hacker News 报道，Microsoft Threat Intelligence 称这是一起正在进行的供应链攻击，表示观察到 Graph API 侦察活动以及为保持后门访问而尝试添加凭据的行为，并评估认为 Directory.ReadWrite.All 等此前授予的权限可能已被滥用。

ConnectWise 在其安全公告中表示，该公司于本周早些时候发现该问题，并于10月16日首次披露了未经授权访问的企图。周六早些时候，该公司表示正在切断 Cloud Backup 应用的访问，备份将暂停，直至另行通知。随后的一次更新称，该公司已为所有用户吊销受影响应用连接的证书，该服务所依赖的共享凭据已不再有效，并有一家外部事件响应公司正在提供协助。ConnectWise 表示，自那以后，在其监控的环境中未发现任何成功的威胁活动，也没有证据表明加密备份存档遭到访问。该公司补充说，由于该服务的设计，它无法查看下游客户环境，因此无法自行判断某个租户是否受到影响。产品缺陷是否起了作用尚未确定，凭据如何泄露仍在调查中。目前尚未给出恢复时间。

受影响租户的数量因来源而异。Huntress 写道，截至周五 19:00 UTC，它已确认 162 个租户中存在未经授权的登录，BleepingComputer 报道的 Huntress 数字为至少 162 个。The Hacker News 则报道称，Huntress 在 173 个租户中观察到已确认的未经授权登录。据 BleepingComputer 援引，Todyl 检查了 9 个租户中的入侵事件，仅发现登录活动，没有迹象表明攻击者创建了账户、添加了权限、重置了用户登录或通过该备份应用获得了持久访问。ConnectWise 的公告未给出租户数量，而 Huntress 指出，凡是已对该应用授予同意的地方，该凭据均可使用，因此暴露范围并不限于已确认的案例。

Huntress 表示，10月15日的登录发生在 06:13 至 08:34 UTC 之间，并按排序顺序以数秒间隔在各租户间推进，它认为这是一个依据目标列表运行的脚本。在其监控的约 50 个租户中，ConnectWise Cloud Management 应用的服务主体为自身分配了目录角色，主要是 Exchange Administrator（Exchange 管理员）；Huntress 表示，用户代理显示为供应商自动化操作，但它尚未与 ConnectWise 确认这一点。在一个租户中，面向 Microsoft Teams 的 Cloud Management 应用在约 5 分钟内将自身设为 Global Administrator（全局管理员），并向一个 MSP 管理应用及 Huntress 自己的应用添加了新凭据，不过 Huntress 尚未将该活动与随后从托管服务商 IP 发起登录的操作者联系起来。周六的一次更新称，它高度确信 Exchange Online、Teams 和 SharePoint Online 的 Cloud Management 应用也遭到滥用。在其仔细审查的那一个租户中，Huntress 未发现邮件或文件访问，但指出 Graph 目录读取不会留下审计记录。

ConnectWise 建议管理员在 Entra 登录日志中查看该备份应用的服务主体登录选项卡，查找来自预期 Microsoft 和 Azure 地址范围之外的来源，审查新增的应用凭据、权限或同意变更以及异常的数据访问，并保留相关日志，同时指出仅凭异常本身并不能确认遭到入侵。Huntress 建议禁用（而非删除）该备份应用以及任何无法核实的 ConnectWise 或 SkyKick 应用，并在 ConnectWise 确认所有凭据均已重置之前保持禁用状态，同时检查所有应用自10月13日以来新增的凭据，并移除非预期的目录角色。它警告称，禁用应用并不会移除已被植入的凭据。Todyl 表示，禁用可阻止签发新令牌，但已签发的令牌在最长 90 分钟内仍可使用，且吊销用户会话并不能终止基于应用的访问。Microsoft 建议检查来自陌生 IP 地址的服务主体登录、应用凭据的变更以及与该应用相关的 OAuth 授权。