Thông tin xác thực ConnectWise Cloud Backup bị dùng trên 173 tenant Microsoft 365
"Huntress observed a compromised ConnectWise Cloud Backup application credential signing in to 173 Microsoft 365 tenants and obtaining Microsoft Graph tokens from 144.172.64.128 on 15 October 2026. ConnectWise shut off Cloud Backup application access and said it had not found evidence that partner backup data was compromised."
Credential ứng dụng backup có thể đọc hộp thư, tệp và thư mục trên mọi tenant đã cài, và token đã cấp còn hiệu lực tới 90 phút sau khi tắt ứng dụng.
MSP và khách hàng dùng ConnectWise Cloud Backup cần khóa ứng dụng, rà secret mới và xử lý rủi ro dữ liệu Microsoft 365 của khách.
Huntress ghi nhận đăng nhập trái phép vào 173 tenant bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup (trước đây là SkyKick). Ứng dụng backup cho MSP có quyền rộng tới hộp thư, OneDrive, SharePoint, Teams và thư mục.
Địa chỉ 144.172.64[.]128 lấy token Microsoft Graph từ 06:13 đến 08:34 UTC ngày 15 tháng 10 năm 2026, đi qua tenant theo thứ tự GUID. Cùng IP đã password spraying bốn tenant công ty luật ngày 13–14 tháng 10. Huntress không thấy đăng nhập người dùng thành công trong telemetry đó.
Trong ít nhất một tenant, ứng dụng Teams ID 24205314-2b89-4e07-a2a4-579e898a5640 tự gán Global Administrator, rồi script Python-urllib/3.12 thêm client secret vào ứng dụng quản trị MSP và Huntress Security Platform.
Thu hồi phiên người dùng không cắt quyền ứng dụng. Tắt ứng dụng ngừng token mới, nhưng token đã cấp còn hiệu lực tới 90 phút. ConnectWise đã đóng truy cập Cloud Backup và cho biết chưa thấy bằng chứng dữ liệu backup của đối tác bị xâm phạm. Microsoft theo dõi OAuth app 506e08f9-6e9a-4da4-942b-a099a03644ae.
Việc cần kiểm tra
- Xem service principal sign-in của app ID trên, không chỉ tab đăng nhập người dùng.
- Đối chiếu IP 144.172.64[.]128 và secret mới từ ngày 13 tháng 10.
- Tắt ứng dụng cho đến khi ConnectWise xác nhận đã xoay thông tin xác thực.