攻击者用ConnectWise备份凭据闯入173个Microsoft 365租户

据The Hacker News 10月17日报道，攻击者窃取了这款应用的凭据。该应用前身为SkyKick，供托管服务商为客户备份Microsoft 365数据。所谓租户，是指一家机构在Microsoft 365中的独立环境。Huntress发现，10月15日06:13至08:34（UTC），有人从144.172.64.128这一地址获取了Microsoft Graph访问令牌。攻击者按租户编号顺序逐个访问，间隔仅几秒，这表明是一个按现成目标清单运行的脚本。

由于凭据属于应用而非某个用户，攻击者继承了客户此前授予该应用的全部权限，多重身份验证根本没有被触发。微软将此事定性为一起正在进行的供应链攻击，并表示Directory.ReadWrite.All等目录写入权限可能已被滥用。在至少一个合作伙伴租户中，ConnectWise的另一款应用把自己加入了全局管理员角色，随后一个Python脚本为另外两个受信任应用写入了新的密钥。

Todyl指出，停用该应用可以阻止生成新令牌，但已签发的令牌仍可有效长达90分钟。ConnectWise已暂停该应用的访问，直至另行通知，并表示没有发现合作伙伴备份数据被窃取的证据。凭据如何被盗尚未公布。SpecterOps 10月17日的说明中，Huntress的统计数字为162个租户；当天晚些时候升至173个。