ConnectWise Cloud Backup（前稱 SkyKick）的應用程式憑證遭人利用，攻擊者藉此取得 Microsoft Graph 存取權杖，登入多個客戶的 Microsoft 365 租戶。Huntress 確認有 173 個合作夥伴及客戶租戶出現未授權登入，但這個數字並不代表所有 173 個租戶都證實有資料被竊取。事件的整體影響，以及最初憑證如何外洩，目前仍未明。 169

發生咗咩事？

Microsoft 將事件定性為供應鏈攻擊：攻擊者利用一個已受客戶信任的 OAuth 應用程式。客戶原先已授權這個可跨多個租戶運作的 Cloud Backup 應用程式，讓它在各自的 Microsoft 365 環境內執行備份工作。調查人員指，攻擊者利用應用程式原有權限取得跨租戶存取權杖；當中包括範圍廣泛的目錄權限，例如 Directory.ReadWrite.All。 915

Huntress 的數字由 10 月 16 日 19:00 UTC 時的 162 個租戶，增至其後更新所報的 173 個。這些是已確認出現未授權登入的租戶數目，並非受影響機構的最終總數，也不能證明每個租戶的資料都曾被讀取或外傳。 169

時間線與相關 IP 位址

Huntress 觀察到，Cloud Backup 應用程式在 10 月 15 日 06:13 至 08:34 UTC 期間，從 144.172.64[.]128 取得 Microsoft Graph 權杖。應用程式短時間內接連登入不同租戶，顯示活動可能由程式自動執行。Huntress 亦指，同一 IP 位址曾於 10 月 13 日及 14 日，對四個律師事務所租戶進行密碼噴灑，但未成功登入。這些較早的嘗試，並不能證明 Cloud Backup 憑證是如何外洩。 1520

點解用戶 MFA 冇阻止登入？

這次活動是以應用程式身分登入，亦即服務主體（service principal），而非以個別用戶帳戶登入。因此，用戶 MFA 並不適用於這個應用程式登入流程；這跟攻擊者繞過某個用戶帳戶的 MFA 並不是同一回事。 711

應用程式原有權限理論上可觸及 Microsoft 365 資源，包括電郵、OneDrive、SharePoint、Teams 及目錄資料。不過，有權限不代表相關資料一定曾被讀取。Todyl 在其檢視的九個租戶中，報告了未授權登入；這項有限範圍的調查，不能說明其他租戶的情況。 61929

調查亦發現持續存取跡象

Huntress 表示，在接近 50 個租戶發現自行指派目錄角色的情況。其中一宗已觀察到的個案中，一個 Teams 管理應用程式將自己提升為全域管理員（Global Administrator），並向其他應用程式加入憑證，包括一個託管服務供應商（MSP）的管理工具應用程式，以及 Huntress 的應用程式。這些新增憑證可能形成獨立於原有 Cloud Backup 整合之外的存取途徑。 19

因此，單純停用供應商整合，未必能處理入侵期間對其他應用程式作出的所有更改。管理員亦應搜尋不熟悉的應用程式密碼或憑證，以及不尋常的角色指派。 113

備份資料目前點樣？仲有咩未清楚？

ConnectWise 表示，目前沒有跡象顯示合作夥伴的備份資料曾遭存取，並稱服務恢復後，現有備份檔案將可使用。這項說明針對的是備份檔案，並不能證明客戶 Microsoft 365 內的資料未受觸及。當時亦未公布服務恢復日期。 419

ConnectWise 在 10 月 17 日的更新中表示，已撤銷受影響應用程式連線所用的憑證，並使 Cloud Backup 共用憑證失效。服務中斷及撤銷憑證屬於遏止措施，並不代表事件影響範圍已經有定論。 3

目前資料未能確定受影響機構總數、是否有資料被竊取及其規模，也未能確認最初的憑證是如何遭到入侵。不同保安公司的調查涵蓋不同租戶，因此不應將單一公司的觀察，當成所有受影響環境的完整情況。 1919

Microsoft 365 管理員可以點做？

• 停用受影響應用程式，同時保留調查線索。 Huntress 建議受影響機構停用該應用程式。檢查相關登入、角色及憑證變更前，避免直接刪除應用程式；重新連接前，應依照供應商及事件應變團隊的最新指引行事。 913
• 檢查 Cloud Backup 以外的應用程式。 留意自 10 月 13 日起有否新增不明憑證，以及有否不尋常的角色指派。輪換供應商憑證或暫停服務，不會自動移除攻擊者加到其他應用程式的憑證。 113
• 分開調查應用程式登入與用戶登入。 由於這次活動使用應用程式身分，只檢查用戶 MFA 事件並不足以評估風險。 711
• 沒有審計紀錄，不等於沒有存取。 部分 Microsoft Graph 目錄讀取操作未必會留下目錄審計紀錄，因此沒有相關事件，不能當作未曾偵察或存取的可靠證明。 79

事件提醒管理員：受信任的第三方整合，可能同時握有多個客戶租戶的重要權限。即使尚未證實資料遭竊，已確認的應用程式登入及持續存取跡象，仍值得立即調查。 915

ConnectWise Cloud Backup（前稱 SkyKick）的應用程式憑證遭人利用，攻擊者藉此取得 Microsoft Graph 存取權杖，登入多個客戶的 Microsoft 365 租戶。Huntress 確認有 173 個合作夥伴及客戶租戶出現未授權登入，但這個數字並不代表所有 173 個租戶都證實有資料被竊取。事件的整體影響，以及最初憑證如何外洩，目前仍未明。 169

發生咗咩事？

Microsoft 將事件定性為供應鏈攻擊：攻擊者利用一個已受客戶信任的 OAuth 應用程式。客戶原先已授權這個可跨多個租戶運作的 Cloud Backup 應用程式，讓它在各自的 Microsoft 365 環境內執行備份工作。調查人員指，攻擊者利用應用程式原有權限取得跨租戶存取權杖；當中包括範圍廣泛的目錄權限，例如 Directory.ReadWrite.All。 915

Huntress 的數字由 10 月 16 日 19:00 UTC 時的 162 個租戶，增至其後更新所報的 173 個。這些是已確認出現未授權登入的租戶數目，並非受影響機構的最終總數，也不能證明每個租戶的資料都曾被讀取或外傳。 169

時間線與相關 IP 位址

Huntress 觀察到，Cloud Backup 應用程式在 10 月 15 日 06:13 至 08:34 UTC 期間，從 144.172.64[.]128 取得 Microsoft Graph 權杖。應用程式短時間內接連登入不同租戶，顯示活動可能由程式自動執行。Huntress 亦指，同一 IP 位址曾於 10 月 13 日及 14 日，對四個律師事務所租戶進行密碼噴灑，但未成功登入。這些較早的嘗試，並不能證明 Cloud Backup 憑證是如何外洩。 1520

點解用戶 MFA 冇阻止登入？

這次活動是以應用程式身分登入，亦即服務主體（service principal），而非以個別用戶帳戶登入。因此，用戶 MFA 並不適用於這個應用程式登入流程；這跟攻擊者繞過某個用戶帳戶的 MFA 並不是同一回事。 711

應用程式原有權限理論上可觸及 Microsoft 365 資源，包括電郵、OneDrive、SharePoint、Teams 及目錄資料。不過，有權限不代表相關資料一定曾被讀取。Todyl 在其檢視的九個租戶中，報告了未授權登入；這項有限範圍的調查，不能說明其他租戶的情況。 61929

調查亦發現持續存取跡象

Huntress 表示，在接近 50 個租戶發現自行指派目錄角色的情況。其中一宗已觀察到的個案中，一個 Teams 管理應用程式將自己提升為全域管理員（Global Administrator），並向其他應用程式加入憑證，包括一個託管服務供應商（MSP）的管理工具應用程式，以及 Huntress 的應用程式。這些新增憑證可能形成獨立於原有 Cloud Backup 整合之外的存取途徑。 19

因此，單純停用供應商整合，未必能處理入侵期間對其他應用程式作出的所有更改。管理員亦應搜尋不熟悉的應用程式密碼或憑證，以及不尋常的角色指派。 113

備份資料目前點樣？仲有咩未清楚？

ConnectWise 表示，目前沒有跡象顯示合作夥伴的備份資料曾遭存取，並稱服務恢復後，現有備份檔案將可使用。這項說明針對的是備份檔案，並不能證明客戶 Microsoft 365 內的資料未受觸及。當時亦未公布服務恢復日期。 419

ConnectWise 在 10 月 17 日的更新中表示，已撤銷受影響應用程式連線所用的憑證，並使 Cloud Backup 共用憑證失效。服務中斷及撤銷憑證屬於遏止措施，並不代表事件影響範圍已經有定論。 3

目前資料未能確定受影響機構總數、是否有資料被竊取及其規模，也未能確認最初的憑證是如何遭到入侵。不同保安公司的調查涵蓋不同租戶，因此不應將單一公司的觀察，當成所有受影響環境的完整情況。 1919

Microsoft 365 管理員可以點做？

• 停用受影響應用程式，同時保留調查線索。 Huntress 建議受影響機構停用該應用程式。檢查相關登入、角色及憑證變更前，避免直接刪除應用程式；重新連接前，應依照供應商及事件應變團隊的最新指引行事。 913
• 檢查 Cloud Backup 以外的應用程式。 留意自 10 月 13 日起有否新增不明憑證，以及有否不尋常的角色指派。輪換供應商憑證或暫停服務，不會自動移除攻擊者加到其他應用程式的憑證。 113
• 分開調查應用程式登入與用戶登入。 由於這次活動使用應用程式身分，只檢查用戶 MFA 事件並不足以評估風險。 711
• 沒有審計紀錄，不等於沒有存取。 部分 Microsoft Graph 目錄讀取操作未必會留下目錄審計紀錄，因此沒有相關事件，不能當作未曾偵察或存取的可靠證明。 79

事件提醒管理員：受信任的第三方整合，可能同時握有多個客戶租戶的重要權限。即使尚未證實資料遭竊，已確認的應用程式登入及持續存取跡象，仍值得立即調查。 915