ConnectWise 在发现有人未经授权访问应用身份，并利用这些身份入侵 Microsoft 365 租户后，暂停了合作伙伴和客户对 Cloud Backup 服务的访问。该服务此前称为 SkyKick Cloud Backup。Microsoft 将此事件描述为一次正在进行的供应链攻击，而 Huntress 表示，其在自身环境中发现至少 162 个遭入侵的租户。
活动迹象于 10 月 15 日开始出现。Microsoft、Huntress 和 Todyl 追踪到针对同一 IP 地址 144.172.64[.]128 的登录尝试。Microsoft 确认，ConnectWise Cloud Backup 出现了未经授权的身份验证尝试；ConnectWise 则表示，已关闭应用程序对其系统的访问，并开始调查和修复工作。
备份权限是如何被利用的？
Microsoft 365 备份服务依赖通过 Microsoft Entra ID 授予的权限，其中名为 service principal 的应用身份代表客户租户中的程序。根据 Todyl 研究人员的说法，攻击者直接使用应用程序机密完成身份验证，利用了客户此前授予该服务的权限。
这一过程不需要用户登录，因此多因素身份验证不足以阻止攻击。广泛的权限在技术上允许读取和写入电子邮件及附件、OneDrive 和 SharePoint 文件以及 Teams 聊天记录。在 Todyl 检查的 9 起事件中，该公司没有发现创建账户、修改密码或通过备份应用建立持久化机制的证据。
持久化尝试和管理权限
Huntress 在约 50 个租户中发现，ConnectWise Cloud Management 的 Exchange Online、Microsoft Teams 和 Microsoft Graph 应用为自身授予了目录角色，其中最突出的是 Exchange Administrator 角色。在一起事件中，Cloud Management - MS Teams 应用为自身授予了 Global Administrator 角色，并向一家技术服务提供商管理工具和 Huntress 应用添加了凭据。
Microsoft 还观察到，在应用身份完成身份验证后出现了后台活动，随后进行了 Microsoft Graph 探测并尝试添加新凭据。Microsoft 表示，攻击者可能利用了现有权限，其中包括 Directory.ReadWrite.All。
Microsoft 365 管理员应检查什么？
ConnectWise 建议检查 Entra 中的 service principal 登录日志，使用 Cloud Backup 应用程序 ID 过滤结果，然后审查异常的源地址。Microsoft 还建议审查应用凭据变更、OAuth 授权以及相关的 Graph 活动。
Huntress 警告称，停用受影响的应用不一定会删除此前已添加到租户中的凭据。因此，应检查所有应用中的机密和证书，查找自 10 月 13 日以来未经授权的新增内容。Todyl 指出，停用应用会阻止签发新令牌，但不会在现有令牌到期前使其失效；此外，撤销用户会话也不会阻止基于应用的访问。
Huntress 确定了合法 Cloud Backup 应用的应用程序 ID：506e08f9-6e9a-4da4-942b-a099a03644ae，以及其他 Cloud Management 应用程序 ID。该机构还将相关活动与以下用户代理关联起来：curl/7.88.1、python-urllib/3.12、python-requests/2.31 和 python-requests/2.34.2。
损害范围仍未确定
ConnectWise 表示，目前没有迹象表明存储的备份数据遭到入侵，服务恢复后现有存档仍将可用。然而，最终受害者数量、可能被窃取的数据规模，以及攻击者获取供应商凭据的方式，目前仍不清楚。此外，仅暂停服务不足以处理租户内部的入侵影响，因为其中可能已被添加新的机密、证书或权限。