IT 管理軟體供應商 ConnectWise 旗下的 Cloud Backup（雲端備份，前身為 SkyKick）應用程式憑證遭不明駭客濫用，攻擊者至少自 10 月 15 日起藉此登入客戶的 Microsoft 365 租戶（tenant）。資安託管業者 Huntress 表示，
已確認 173 個租戶出現未授權登入。ConnectWise 於 10 月 17 日停用七個應用程式身分並暫停備份服務，備份排程與還原功能目前仍無法使用。
攻擊者以應用程式身分直接取得權杖
Cloud Backup 是提供託管服務供應商（MSP）使用的備份服務，負責備份與還原客戶的 Microsoft 365 或 Google Workspace 資料。主要服務 MSP 的資安平台業者 Todyl 指出，該應用程式在各租戶中的既有權限，可讀寫郵件與附件、OneDrive 與 SharePoint 檔案，以及 Teams 聊天內容。
Huntress 表示，攻擊者在 10 月 15 日 06:13 至 08:34（UTC）間，自 IP 位址
144.172.64[.]128 取得客戶租戶的 Microsoft Graph 權杖。攻擊者依租戶 GUID 排序逐一嘗試，每次相隔數秒，顯示是依目標清單執行的腳本。Microsoft 也在同日觀察到來自該 IP 的大規模服務主體（service principal）驗證成功，並評估攻擊者可能濫用客戶先前授予的高權限，包括 Directory.ReadWrite.All。
外媒報導指出，
由於攻擊者以應用程式身分驗證，過程不涉及使用者登入，多因素驗證（MFA）無法發揮作用。Todyl 提醒，撤銷使用者工作階段無法終止此類存取，停用應用程式後，已發出的權杖最長仍可使用 90 分鐘。
Huntress 另在至少一個租戶發現，ConnectWise Cloud Management 的 Teams 應用程式將自己加入全域管理員（Global Administrator）角色，並為兩個受信任的應用程式新增用戶端密鑰，其中包括 MSP 管理工具與 Huntress 本身的應用程式。Todyl 分析九個租戶，則僅發現登入活動，未見建立帳號或持久化跡象。Huntress 後續表示，來自同一 IP 的登入活動涵蓋近千個 Entra 租戶，其中約 300 次登入成功，但部分租戶因缺少對應的服務主體，攻擊者未能取得存取。
ConnectWise 停用七個身分並暫停服務
ConnectWise 表示，該公司 10 月 14 日透過資安監控發現異常，並於 10 月 17 日停用七個應用程式身分，包括 Cloud Backup 與六個 Cloud Management 應用程式，同時撤銷受影響連線所用的憑證。
目前排程備份已停止執行，備份封存的存取與還原功能無法使用。SaaS Security 與 Cloud Management 也因預防措施暫時下線。ConnectWise 強調，現有備份封存仍處於加密與隔離狀態，沒有證據顯示遭存取，但停用連線不會逆轉攻擊者已在租戶內做出的變更，先前發出的權杖也可能在到期前仍可使用。
ConnectWise 10 月 17 日公告時未提供恢復時程，10 月 18 日更新指出服務仍無法使用。憑證如何外洩、是否與產品漏洞有關，該公司表示仍在分析，攻擊者身分也尚未公開。
管理員應檢查的項目
Huntress 提醒，部分透過 Microsoft Graph 的目錄讀取不會留下稽核軌跡，建議不必等到證實遭存取才行動。業者建議管理員採取以下措施：
- 停用相關應用程式，待 ConnectWise 確認憑證全數重設前維持停用
- 在 Microsoft Entra 系統管理中心的服務主體登入記錄，以應用程式 ID 506e08f9-6e9a-4da4-942b-a099a03644ae 篩選，檢視非預期的來源 IP，特別是 144.172.64[.]128
- 檢查自 10 月 13 日起各應用程式新增的密鑰與憑證，以及目錄角色異動
- 啟用 Microsoft Graph 活動記錄，並在處置前保存登入與稽核記錄
本文轉載自 TheHackerNews、BleepingComputer。