2026-10-22 13:04:06 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

黑客利用被盗 ConnectWise 备份凭据，入侵173个Microsoft 365 账户

Guru Baran
Guru Baran

代码卫士

2026年10月19日 19:59
江苏

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

黑客使用被盗的ConnectWise Cloud Backup凭据登录了173个Microsoft 365合作伙伴和客户租户，从而通过一个受信任的备份应用获得访问权限。该事件表明，当一个多租户应用已经拥有广泛权限时，一个被泄露的供应商机密就可能给许多组织机构带来风险。

受影响的产品是 ConnectWise Cloud Backup，前身为 SkyKick Backup。托管服务提供商使用该平台保护 Microsoft 365 和 Google Workspace 数据。为执行备份和恢复任务，该 Microsoft 365 应用可能获得对 Exchange 邮箱、OneDrive、SharePoint、Teams 和目录信息的访问权限。

Microsoft 威胁情报团队证实正在追踪一起涉及 ConnectWise Cloud Backup（原 SkyKick Backup）的活跃供应链攻击。

泄露的凭据被跨租户使用

Huntress 公司证实称，属于该供应商的一个 API 机密已遭泄露，并被用于未经授权访问 Microsoft 365。后续报道将已确认的合作伙伴和客户租户数量定为 173 个。登录记录显示存在客户端断言，这意味着该机密来自供应商的主租户，而不是来自每个客户环境内部的密码或操作。

攻击者使用了 ConnectWise Cloud Backup 应用程序 ID 506e08f9-6e9a-4da4-942b-a099a03644ae。2026 年 10 月 15 日，该应用从 144.172.64[.]128 登录，并在 06:13 至 08:34 UTC 之间获得了 Microsoft Graph 访问令牌。攻击者按顺序遍历租户标识符，彼此仅相隔几秒，这表明其使用了带有预先准备目标列表的自动化脚本。

它并非普通用户登录。攻击者以受信任应用的身份登录，并获得了带有客户已批准权限的令牌。该过程无需用户密码和常规 MFA 提示，因为该活动使用的是仅应用身份。

观察到全局管理员访问权限

最严重的活动出现在Huntress 公司的一个合作伙伴租户中。第二个名为 ConnectWise Cloud Management – MS Teams、应用程序 ID 为 24205314-2b89-4e07-a2a4-579e898a5640 的应用，将自己分配为全局管理员角色。随后，它使用 Python 脚本向另外两个受信任应用程序添加了新的客户端机密。

这些添加的机密被设置为 2028 年到期，可能允许攻击者通过受影响的应用程序返回。禁用原始 ConnectWise 应用并不会移除已植入其它应用注册中的凭据。这就是为什么防御者必须审查所有应用机密和证书，而不仅仅是 ConnectWise 条目。

微软的登录日志还显示，第二个应用从私有 IPv6 范围 fde4:8dba:2600:37ce:6d26:200:a76:\* 连接。然而，Huntress 公司警告称，合法的 ConnectWise 流量和无关的客户流量也可能使用同一个 Microsoft 内部云范围。仅凭该地址不应被视为恶意活动的证据。

该案例与 OAuth 和服务主体滥用更广泛上升的趋势相符。Cyber Security News 媒体此前曾报道了黑客如何在 Microsoft Entra ID 中使用 OAuth 应用实现持久化，即使在密码重置之后也是如此。另一项近期调查覆盖了一场 8100 万次登录的 Microsoft 365 密码喷洒活动，该活动滥用了 Azure CLI 和旧版 OAuth 流程。

安全团队应检查 Microsoft Entra 管理中心中的服务主体登录视图，因为默认用户登录页面不会显示该活动。应筛选 Cloud Backup 应用程序 ID，并搜索 144.172.64[.]128、异常公共 IP 地址和异常的 Graph API 活动。

ConnectWise 还将 Python-urllib/3.12 和 python-requests/2.31 列为观察到的用户代理。这些值本身是弱信号，因为 Python 工具在正常管理工作中很常见。更强的证据来自将用户代理与源 IP、应用程序 ID、角色变更以及“添加服务主体凭据”或“更新应用程序”等操作关联起来。

防御者应审查 Entra 审计日志，查找 ConnectWise 或 SkyKick 应用程序将自己添加到目录角色中的行为。他们还应检查每个企业应用程序和应用注册，查找自 2026 年 10 月 13 日以来添加的客户端机密或证书。没有可见的文件或电子邮件访问并不能排除数据暴露，因为某些 Microsoft Graph 目录读取几乎不会留下或不会留下有用的审计证据。

受影响组织机构应禁用但不应删除 ConnectWise Cloud Backup 和 ConnectWise Cloud Management – MS Teams 服务主体。删除它们会移除同意，并可能使服务恢复更加困难。禁用这些应用程序会暂停自动备份，但不会删除 ConnectWise 已存储的备份。

管理员应移除任何未经批准的目录角色，删除未知的应用凭据，审查条件访问排除项，并保持受影响应用处于禁用状态，直到 ConnectWise 确认所有供应商机密均已重置。ConnectWise 表示已采取遏制措施，并且在其安全公告发布时没有迹象表明合作伙伴备份数据被访问。

Huntress 公司已在其技术调查中发布了详细检查项和更新后的指标。该威胁行为者尚未被公开确认，完整范围仍在调查中。组织机构应根据已确认的登录和持久化迹象采取行动，而非等待文件或消息被窃取的证据。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

推荐阅读

在线阅读版：《2025中国软件供应链安全分析报告》全文

GitLab 邮件地址可用于供应链攻击

Brevo 供应链攻击将 ClickFix 脚本注入客户网站

Anthropic、谷歌和OpenAI 的编程代理严重漏洞可致RCE和供应链攻击

GitHub 内部仓库疑遭未授权访问，TeamPCP 据称正在出售 GitHub 内部源代码

TeamPCP再发动供应链攻击；数百个恶意包被上传，RubyGems 暂停新账号注册

“冬虫夏草”供应链漏洞影响数千家组织机构的代码仓库