ConnectWise Cloud Backup（原名 SkyKick）的一个凭证遭到滥用，攻击者借此获取 Microsoft Graph 访问令牌，进入多个客户的 Microsoft 365 租户。Huntress 报告，在 173 个合作伙伴及客户租户中发现了未经授权的登录；这个数字说明的是登录活动，不代表所有 173 个租户都已确认发生数据窃取。事件的总体影响，以及最初凭证如何遭到窃取，目前仍不清楚。169

发生了什么？

微软将此事件定性为一起供应链攻击：攻击者入侵了一个受信任的 OAuth 应用。客户此前已授权多租户版 Cloud Backup 应用在其 Microsoft 365 环境中运行；调查人员认为，攻击者利用这些既有授权，跨租户获取访问令牌。相关权限包括范围较广的目录访问权限，例如 Directory.ReadWrite.All。915

Huntress 的统计从 10 月 16 日 19:00 UTC 时的 162 个租户，更新至后续通报中的 173 个。这些是已确认出现未经授权登录的租户，并非最终受影响机构总数，也不能证明每个租户的数据都被读取或窃取。169

时间线与相关 IP 地址

Huntress 观察到，该应用于 10 月 15 日 06:13 至 08:34 UTC 期间，从 144.172.64[.]128 获取 Microsoft Graph 令牌。活动在不同租户间快速切换，显示出脚本化操作的迹象。Huntress 还报告，同一 IP 地址曾于 10 月 13 日和 14 日针对四家律所租户发起密码喷洒尝试，但未成功。这些较早的尝试并不能说明 Cloud Backup 凭证最初是如何泄露的。1520

为什么用户 MFA 没能阻止登录？

此次活动使用的是应用身份，也称服务主体，而不是某个具体用户账号。因此，用户 MFA 并未参与这条应用登录流程。这与攻击者绕过用户账号的 MFA 并不是一回事。711

该应用已有的权限理论上可能触及 Microsoft 365 中的邮件、OneDrive、SharePoint、Teams 和目录数据。但拥有访问权限，不等于这些资源都已被读取。Todyl 在其检查的 9 个租户中报告了未经授权的登录；这一有限范围的发现，不能说明其他租户的情况。61929

调查还发现了持久化迹象

Huntress 报告，在近 50 个租户中发现了应用自行授予目录角色的情况。在一个已观察到的案例中，一个 Teams 管理应用为自己授予了“全局管理员”角色，并向其他应用添加凭证，其中包括某托管服务提供商（MSP）的管理工具应用和 Huntress 的应用。这些新增凭证可能形成独立于原始 Cloud Backup 集成的访问路径。19

因此，仅停用供应商集成未必能清除入侵期间留下的所有变更。管理员还应检查是否存在陌生的应用密钥，以及未经预期的角色分配。113

备份数据的状态：已知与未知

ConnectWise 表示，目前没有迹象显示合作伙伴的备份数据遭到访问，并称服务恢复后，已有归档将可用。这一说法针对的是备份归档，并不能证明客户 Microsoft 365 中的数据没有受到访问。相关更新没有公布服务恢复日期。419

ConnectWise 在 10 月 17 日的更新中表示，已撤销受影响应用连接所用的证书，并使共享的 Cloud Backup 凭证失效。这些服务中断和凭证处置属于遏制措施，并不是对事件影响范围的最终结论。3

现有公开信息尚未确认受影响机构总数、是否以及有多少数据遭窃，也未查明最初的凭证是如何泄露的。不同安全公司的调查覆盖范围各异，因此某一家公司的发现不应被视为所有受影响环境的完整情况。1919

Microsoft 365 管理员可以采取哪些措施？

• 停用受影响的应用，同时保留调查证据。 Huntress 建议受影响的组织停用该应用。查看相关登录、角色和凭证变更前，避免直接删除应用；重新连接前，应遵循供应商及事件响应团队的最新指引。913
• 排查 Cloud Backup 之外的应用。 检查 10 月 13 日以来是否有意外新增的密钥或凭证，并核查陌生的角色分配。供应商轮换凭证或暂停服务，不会自动移除攻击者添加到其他应用中的凭证。113
• 单独调查应用登录记录。 由于此次活动使用应用身份，仅检查用户 MFA 登录事件，不足以评估风险。711
• 不要把缺少审计记录当作“没有访问”的证明。 部分 Microsoft Graph 目录读取操作可能不会留下目录审计轨迹，因此没有相关事件记录，并不能可靠证明没有发生侦察或访问。79

这起事件提醒管理员：受信任的第三方集成可能横跨多个客户租户，并拥有相当广泛的访问权限。即使尚未确认数据遭窃，已确认的应用登录和报告中的持久化活动也足以成为立即调查的理由。915

ConnectWise Cloud Backup（原名 SkyKick）的一个凭证遭到滥用，攻击者借此获取 Microsoft Graph 访问令牌，进入多个客户的 Microsoft 365 租户。Huntress 报告，在 173 个合作伙伴及客户租户中发现了未经授权的登录；这个数字说明的是登录活动，不代表所有 173 个租户都已确认发生数据窃取。事件的总体影响，以及最初凭证如何遭到窃取，目前仍不清楚。169

发生了什么？

微软将此事件定性为一起供应链攻击：攻击者入侵了一个受信任的 OAuth 应用。客户此前已授权多租户版 Cloud Backup 应用在其 Microsoft 365 环境中运行；调查人员认为，攻击者利用这些既有授权，跨租户获取访问令牌。相关权限包括范围较广的目录访问权限，例如 Directory.ReadWrite.All。915

Huntress 的统计从 10 月 16 日 19:00 UTC 时的 162 个租户，更新至后续通报中的 173 个。这些是已确认出现未经授权登录的租户，并非最终受影响机构总数，也不能证明每个租户的数据都被读取或窃取。169

时间线与相关 IP 地址

Huntress 观察到，该应用于 10 月 15 日 06:13 至 08:34 UTC 期间，从 144.172.64[.]128 获取 Microsoft Graph 令牌。活动在不同租户间快速切换，显示出脚本化操作的迹象。Huntress 还报告，同一 IP 地址曾于 10 月 13 日和 14 日针对四家律所租户发起密码喷洒尝试，但未成功。这些较早的尝试并不能说明 Cloud Backup 凭证最初是如何泄露的。1520

为什么用户 MFA 没能阻止登录？

此次活动使用的是应用身份，也称服务主体，而不是某个具体用户账号。因此，用户 MFA 并未参与这条应用登录流程。这与攻击者绕过用户账号的 MFA 并不是一回事。711

该应用已有的权限理论上可能触及 Microsoft 365 中的邮件、OneDrive、SharePoint、Teams 和目录数据。但拥有访问权限，不等于这些资源都已被读取。Todyl 在其检查的 9 个租户中报告了未经授权的登录；这一有限范围的发现，不能说明其他租户的情况。61929

调查还发现了持久化迹象

Huntress 报告，在近 50 个租户中发现了应用自行授予目录角色的情况。在一个已观察到的案例中，一个 Teams 管理应用为自己授予了“全局管理员”角色，并向其他应用添加凭证，其中包括某托管服务提供商（MSP）的管理工具应用和 Huntress 的应用。这些新增凭证可能形成独立于原始 Cloud Backup 集成的访问路径。19

因此，仅停用供应商集成未必能清除入侵期间留下的所有变更。管理员还应检查是否存在陌生的应用密钥，以及未经预期的角色分配。113

备份数据的状态：已知与未知

ConnectWise 表示，目前没有迹象显示合作伙伴的备份数据遭到访问，并称服务恢复后，已有归档将可用。这一说法针对的是备份归档，并不能证明客户 Microsoft 365 中的数据没有受到访问。相关更新没有公布服务恢复日期。419

ConnectWise 在 10 月 17 日的更新中表示，已撤销受影响应用连接所用的证书，并使共享的 Cloud Backup 凭证失效。这些服务中断和凭证处置属于遏制措施，并不是对事件影响范围的最终结论。3

现有公开信息尚未确认受影响机构总数、是否以及有多少数据遭窃，也未查明最初的凭证是如何泄露的。不同安全公司的调查覆盖范围各异，因此某一家公司的发现不应被视为所有受影响环境的完整情况。1919

Microsoft 365 管理员可以采取哪些措施？

• 停用受影响的应用，同时保留调查证据。 Huntress 建议受影响的组织停用该应用。查看相关登录、角色和凭证变更前，避免直接删除应用；重新连接前，应遵循供应商及事件响应团队的最新指引。913
• 排查 Cloud Backup 之外的应用。 检查 10 月 13 日以来是否有意外新增的密钥或凭证，并核查陌生的角色分配。供应商轮换凭证或暂停服务，不会自动移除攻击者添加到其他应用中的凭证。113
• 单独调查应用登录记录。 由于此次活动使用应用身份，仅检查用户 MFA 登录事件，不足以评估风险。711
• 不要把缺少审计记录当作“没有访问”的证明。 部分 Microsoft Graph 目录读取操作可能不会留下目录审计轨迹，因此没有相关事件记录，并不能可靠证明没有发生侦察或访问。79

这起事件提醒管理员：受信任的第三方集成可能横跨多个客户租户，并拥有相当广泛的访问权限。即使尚未确认数据遭窃，已确认的应用登录和报告中的持久化活动也足以成为立即调查的理由。915