黑客利用ConnectWise SkyKick凭证入侵微软365，云备份服务被迫中断

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月19日 08:05
北京

去阅读

攻击者盗用遭泄露的ConnectWise云备份凭证，访问多家微软365客户租户环境。为此ConnectWise关闭了该应用访问权限，备份业务随之中断。

亨特雷斯（Huntress）研究员乔纳森·西蒙证实，截至世界协调时10月16日19点，已有162个租户出现未授权登录事件，这一事件暴露出高权限第三方供应商应用存在的安全风险。

ConnectWise在10月17日为本报道提供的更新说明中表示，调查人员发现其云备份环境内的应用身份凭证遭到非法访问。

黑客滥用ConnectWise SkyKick凭证

该公司称，暂无证据表明存储的合作伙伴备份数据已遭窃取，服务中断并未影响已归档的备份资料。

受影响的这项服务前身为SkyKick，面向托管服务提供商提供云备份与恢复能力。该应用需要大量权限，用于保护微软365邮箱、OneDrive、SharePoint、Teams以及目录数据。

据亨特雷斯研究员乔纳森·西蒙介绍，攻击者于世界协调时10月15日06:13‑08:34，通过主机提供商IP地址144.172.64[.]128，利用被盗的应用凭证获取微软图形API（Microsoft Graph）令牌。

登录请求按租户标识排序依次发起，各次请求间隔仅数秒，属于自动化攻击行为。被盗凭证可冒充受信任应用完成身份认证，直接继承各租户内已审批授予的全部权限。

因此，风险范围不只是已经确认的受害租户，所有授权过该应用的企业组织都存在暴露风险。在某合作方租户中，亨特雷斯观测到另一款应用ConnectWise云管理‑MS Teams自行获取全局管理员权限，随后向另外两个应用添加客户端密钥。

遭篡改的对象包括一套托管服务提供商管理应用，以及合作方使用的亨特雷斯安全平台应用。新增的密钥有效期被设置至2028年，即便原始泄露凭证失效，攻击者依旧可以借此持久驻留系统。

上述篡改行为发生在公开IP登录事件约两个半小时之前。亨特雷斯暂未确认这两类行为是否来自同一攻击团伙。日志中记录的私有IPv6地址无法用于定位攻击者，合法业务流量同样会使用该基础设施。

目前尚未证实发生数据窃取。亨特雷斯提醒：没有观测到邮箱、文件访问行为不等于系统安全，部分目录读取操作不会留下审计日志。

亨特雷斯给出处置建议

1. 禁用而非删除这两个应用：

​

• ConnectWise云备份，应用ID： 506e08f9‑6e9a‑4da4‑942b‑a099a03644ae

​

• ConnectWise云管理‑MS Teams，应用ID： 24205314‑2b89‑4e07‑a2a4‑579e898a5640

​

2. 全面审查其余ConnectWise相关应用。

​

3. 管理员查阅微软Entra服务主体登录日志，重点排查来自 144.172.64[.]128 的可疑认证，核查异常目录角色分配、应用改动。