【安全圈】密码MFA全成摆设！黑客借云备份打穿数百企业M365

安全圈 · 2026-10-19 19:00 · 30 阅读

安全圈 2026-10-19 19:00 江苏

关键词

黑客

核心事件快报：全球知名 IT 托管运维服务巨头 ConnectWise 宣布紧急冻结旗下 7 个核心应用身份，并全面熔断 Cloud Backup（云备份）与 SaaS 安全管理服务。调查显示，未知攻击者获取了 ConnectWise 备份应用的合法服务主体凭据，绕过用户登录直接向微软 Entra ID 换取高特权访问令牌，横向渗透了包括政策、国家安全与关键矿产领域的数百家下游企业的 Microsoft 365 租户。网络安全机构 Huntress 观测到近千个租户遭到扫描撞库，其中至少 300 家被黑客成功登录。

🔍 降维打击：无需用户密码，直接冒充受信任云应用

此次供应链攻击之所以极具隐蔽性和杀伤力，在于黑客彻底跳过了钓鱼员工邮箱、破解单点登录（SSO）以及对抗多因素认证（MFA）的传统路径。

攻击者利用企业对托管运维软件的天然信任，走出了一条教科书式的工作负载身份劫持链：

服务主体凭据直接签发特权 Token
：企业为了让 ConnectWise 自动备份邮件和文件，通常会在自己的 Microsoft Entra ID（原 Azure AD）中授权该应用具备极高的目录读取与写入权限。黑客只要拿到了厂商端的共享应用凭证，就能以“合法软件本身”的身份向微软申请 OAuth Access Token。
通吃核心协同数据资产
：持证黑客在租户内部长驱直入，不仅能够静默翻阅 Exchange Online 邮箱、SharePoint 共享文档库、OneDrive 网盘，还能窃听 Microsoft Teams 的私密聊天频道与内部通讯录。
横向植入后门建立持久化留存
：黑客在攻破某些高价值租户后，迅速利用现有权限为其他受信任应用添加全新的客户端密钥（Client Secrets），甚至悄悄注册伪装的新应用并赋予全局管理员（Global Administrator）权限。这意味着即使 ConnectWise 官方切断原应用，黑客埋下的影子凭证依然有效。

⚡ 战况披露：定向狙击高敏感机构，两轮扫荡紧锣密鼓

威胁监控厂商 Huntress 的遥测数据显示，黑客从 10 月 15 日起通过固定 IP 地址（144.172.64[.]128）对目标群体发起了密集的自动化扫描与定向攻击。

攻击行动呈现出高度专业的 APT 组织特征：

第一轮广撒网突击
：针对近千个 Entra ID 租户执行大规模凭据碰撞，部分租户因未配置该服务的 Service Principal 而侥幸躲过一劫，但仍有 300 多个租户验证成功并被建立会话。
第二轮手工深度收网
：在广泛突破后，黑客精挑细选出 16 家涉及宏观政策智库、国家安全战略、对外贸易及关键矿产资源的机构租户，组织熟练工开展人工翻查，集中调用 Microsoft Graph API 批量抽取高密情报。

虽然 ConnectWise 强调用户的存量备份数据处于隔离加密状态并未外泄，但鉴于黑客已直接闯入生产环境，单纯挂起备份服务远不能解除下游企业的险情。

🛡️ M365 租户排查与云工作负载身份（Workload Identity）加固

所有使用过 ConnectWise 管理工具或第三方云备份方案的系统管理员，必须立即执行以下应急审查流程：

全面审计 Entra ID 应用注册与密钥变动
：检查 Azure Portal / Entra 管理中心内所有企业应用（Enterprise Applications）与应用注册列表，重点比对 10 月 14 日至 18 日期间是否有非预期的“Add service principal credentials”审计日志，立即吊销所有可疑 Client Secret。
收紧应用管理高权角色权限
：严格控制组织内拥有“应用程序管理员（Application Administrator）”与“云应用程序管理员”权限的人员名单，禁止向日常运维账号常态化授予此类高危权限。
为工作负载身份启用条件访问（Conditional Access）
：对第三方 SaaS 和自动化脚本的服务主体配置基于地理位置或可信 IP 的条件访问策略，即使第三方厂商密钥意外泄露，攻击者来自未知境外 IP 的调用也会被底层防火墙直接拒绝。

END

【安全圈】OpenCode披露安全漏洞，控制台用户第三方API密钥或遭泄露

【安全圈】伪造的 Arch Linux 软件包以 root 权限推送恶意软件

【安全圈】程序员为女友抢号搞瘫医院挂号系统