发生了什么

2026 年 10 月 21 日，Microsoft 威胁情报发布了对一周前导致 ConnectWise 的 Microsoft 365 备份服务离线的事件的描述。的 报告 该活动归因于 Storm-0940，微软将其描述为自 2021 年以来活跃的“与中国政府结盟的参与者”，并表示该组织通过 ARTEX 进行大部分操作，ARTEX 是一个开源渗透测试框架，可以驱动任何人工智能模型进行从侦察到数据泄露的攻击。

进入的方式不是微软的错误。 Storm-0940 持有被盗的属于 ConnectWise Cloud Backup 的 Microsoft 365 API 机密，ConnectWise Cloud Backup 是以前作为 SkyKick 出售的 MSP 备份产品。由于 MSP 已同意将多租户应用程序引入其客户的租户中，因此每个人都已获得信任，因此秘密也就随之而来。 Microsoft 统计“超过 2,250 个租户”的登录尝试次数高达每分钟 2,900 次。这些是针对的租户，而不是已确认的违规行为。目前还没有人公布受感染租户的经过验证的数量。

微软明确表示自己的暴露情况：该活动“并非由微软公司系统、产品或服务的妥协或漏洞造成”。两家公司都没有透露云备份秘密是如何被盗的。

为什么这很重要

有两件事是新的。首先是速度。微软发现“在多个实例中，从初始定位到特权访问的时间不到 3 小时”，侦察、凭据添加和特权更改尝试的运行速度都比键盘操作人员的速度快。 IDC 的 Yih Khai Wong 直言不讳地说 公民社会组织在线：“每分钟 2,900 次登录尝试并在三个小时内获得特权云访问权限，这不是任何人类分析师队列都可以跟上的时间表。”

第二是目标。大多数 Microsoft 365 强化都涉及到人员：MFA、条件访问、防网络钓鱼密钥。备份应用程序的服务主体使用秘密登录，通常拥有租户范围的图形权限，并且很少像用户帐户那样受到密切关注。 Security Brigade 的 Yash Kadakia 告诉 CSO：“公司花费大量时间通过 MFA 和条件访问来保护员工登录，而第三方应用程序可以拥有同样强大的权限。”一个可以在一夜之间处理数千名租户的代理人将盲点从一次性风险变成了批量风险。

ConnectWise 首席执行官曼尼·里维洛 (Manny Rivelo) 在一份声明中以同样的方式阐述了这一点 网络安全潜水：“国家行为者越来越多地瞄准软件供应链，因为一个可信的连接可以为许多组织打开大门。人工智能现在可以让他们以微软所说的‘机器速度’来测试这些连接。”

攻击是如何进行的

微软将 ARTEX 描述为“用 GO 编写的带有 Next.js 前端的多代理 LLM 系统”，可以在最少的人工干预下运行自主渗透测试。它与模型无关，因此操作员可以选择驱动它的模型。 CSO Online 报道称，10 月初，同一框架与韩国金融机构的数据泄露事件有关。

掌握了云备份凭据后，攻击者使用第二个 ConnectWise 应用程序 Cloud Management - MS Teams 授予全局管理员访问权限并向其他应用程序添加凭据。 登记册。这是防守者最应该关心的一步。在原始被盗凭证被撤销后，添加到现有应用程序中的新机密将继续有效。

微软还将 Storm-0940 与 10 月 10 日至 14 日之间的一次单独的密码喷射运行联系起来，该运行攻击了 8 个组织的 327 个帐户，并产生了超过 151,000 次登录失败，在 10 月 11 日达到峰值，每分钟失败 2,900 次。目标行业包括航空航天和国防、能源、政府和半导体、律师事务所、媒体和智囊团。 Huntress，调查了受影响的 MSP 租户并发布了自己的信息 写下来告诉 Cybersecurity Dive，“我们的工作假设是，这些攻击是由人工智能代理利用脚本工具进行的，偶尔会有人为干预。”

ConnectWise 的地位

连接智慧的 咨询 给出了时间表。它于 10 月 16 日 17:47 UTC 首次发布。 10 月 17 日，三项服务（云备份、SaaS 安全和云管理）被暂停，七个应用程序标识于当天 07:00 UTC 被禁用。分阶段恢复于 10 月 20 日 00:45 UTC 开始。截至 2026 年 10 月 22 日，最新更新称恢复“正在进行中，每个步骤都需要经过安全验证”，并且将“需要几天时间”。该公司表示，现有的备份档案“保持加密、隔离和保存状态，没有未经授权访问的证据”。

合作伙伴被告知在 ConnectWise 发布正式指示之前保持受影响的连接处于禁用状态。这些是 ConnectWise 列出并由 电子传感器。

有一个限制很容易被忽视。 ConnectWise 不管理 MSP 与其最终客户之间的关系，因此它无法判断哪些客户租户受到影响。里维洛还警告说， 据《登记册》报道，关闭应用程序连接本身并不能驱逐已经立足的攻击者。该调查由每个 MSP 和每个租户管理员负责。

Microsoft 365 管理员和 MSP 现在应该做什么

微软的指南在清理之前提供了证据。禁用 ConnectWise 应用程序连接，但在删除任何内容之前导出企业应用程序配置，并记录租户为其保留的应用程序 ID 和服务主体对象 ID。然后处理日志。

1. 在保留期结束之前保留 Entra 登录和审核日志、Purview 审核和 SIEM 记录。
2. 查看至少从 2026 年 10 月 15 日开始的活动，并追溯到日志到达的 10 月 1 日。
3. 分别分析成功和失败的服务主体登录。一次安静的成功比一千次大声的失败更重要。
4. 寻找添加到现有应用程序、新应用程序或服务主体以及新角色分配的凭据，首先是全局管理员。
5. 撤销 ConnectWise 应用程序不需要的权限，轮换它们可以访问的任何凭据，并对每个多租户应用程序应用最小权限。

Defender XDR 客户可以获得检测以及针对 OAuthAppInfo、服务主体登录和图形 API 审核事件以及 Key Vault 秘密读取的搜索查询。微软的报告还列出了攻击者IP（144.172.64.128、144.172.64.99、144.172.64.60、187.15.88.186、187.15.89.186和187.15.90.217）和用户代理，包括python-requests/2.31.0、 Python-urllib/3.12、curl/7.88.1 和 azure-toolkit/1.0。对于逐个租户的演练，SpecterOps 发布了 检查指南 10 月 17 日。

接下来是什么

ConnectWise 的三项服务仍在分阶段恢复，合作伙伴应该期望只有在正式指示到达后才能重新连接它们。有两个问题仍然悬而未决：云备份秘密是如何被获取的，以及 2,250 多个目标租户中有多少人实际被输入。两家公司都没有做出回应。这也不是 ConnectWise 第一次出现供应链恐慌。其 ScreenConnect 远程访问产品于 2025 年 5 月遭到破坏，但两起事件之间的联系尚未得到证实。

更广泛的转变更难以逆转。现在，人工智能代理只需一个下午就可以完成任何拥有数百个客户的租户范围权限的供应商应用程序。如果您的租户仍然同意您停止使用的 MSP 工具，那么本周是时候删除它了。