高II 网络战与关键基础设施2026年10月19日, 星期一
ConnectWise入侵中攻击者自授全局管理员权限
Huntress在10月19日表示，攻击者在一个客户账户中为自己授予了Entra ID全局管理员权限，并添加了有效期至2028年的凭据。ConnectWise的Cloud Backup服务及6个关联应用自10月17日起关闭，恢复时间未定。
ConnectWise在10月15日发现攻击，并在10月17日停用7个应用标识、吊销其证书。据Help Net Security报道，截至10月19日，Cloud Backup、SaaS Security和Cloud Management处于暂停状态；计划备份不再执行，客户也无法恢复数据。该产品原名SkyKick，2024年被收购，是这家公司覆盖十万多家托管服务商的平台的一部分。托管服务商（MSP）指远程运营客户信息系统的公司。
在规模上，数字出现分歧。Huntress确认至少162个Microsoft 365租户遭到未授权访问；从攻击地址向约1000个账户尝试登录，其中300多个成功。据Bank Info Security报道，攻击者在多数案例中于首个迹象出现后的5分钟内建立了持久访问，并按字母顺序处理目标。在一个案例中，Cloud Management的Teams应用把自己变成全局管理员，随后向包括Huntress自有应用在内的2个受信任应用添加了有效期至2028年的凭据。
目标集合值得注意。同一地址10月15日还指向16家从事政策、国家安全、贸易和关键矿产工作的机构；这些机构没有安装ConnectWise应用，尝试因此失败。微软把这起事件定性为供应链攻击。凭据如何外泄、攻击者是谁，截至10月19日均未公布；ConnectWise表示尚未确定产品漏洞是否在其中起了作用。
Talay 研判
结论
事件已从一个备份产品的入侵，扩散到托管服务商链条的管理员层面。攻击者在5分钟内建立持久性，并留下有效期至2028年的凭据，说明关停应用并不足以完成清理。指向关键矿产和贸易政策机构的第二波，暗示目的可能更偏信息搜集而非勒索；由于没有归因，这是一种判读，不是定论。
可能影响
- 托管服务商负面数周内
无法备份、也无法恢复的每一天，都让十万多家托管服务商的客户在勒索攻击面前失去最后一道防线。
- 云应用信任负面1至6个月
受信任应用能够给自己授予管理员权限，这把Microsoft 365租户中第三方应用权限的全面审查推上日程。
- 政策机构负面1至6个月
指向关键矿产和贸易领域16家机构的这波攻击，显示推动供应链谈判的机构正成为直接目标。
可能情形（按概率排序）
- 1逐步恢复，新受害者陆续出现55%
ConnectWise用新凭据分步恢复服务，但随着托管服务商发现隐蔽的持久化痕迹，受影响租户数量上升。
观察指标: ConnectWise的服务恢复公告与Huntress更新的租户数量
- 2归因于国家关联团伙30%
关键矿产目标和安静的持久化使事件被归入间谍行动，美国网络安全和基础设施安全局与伙伴机构发布警告。
观察指标: 美国网络安全和基础设施安全局或微软关于作案者的技术说明
- 3勒索或数据泄露15%
攻击者把获得的权限用于获利；托管服务商的客户出现勒索信，或在泄露网站上被挂名。
观察指标: 勒索团伙的泄露网站上列出ConnectWise客户机构
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 已确认的租户▼ 162+
- 成功登录▼ 300+
- 关闭的服务▼ 7项