Raport Rocket Boys opisujący aktualizację Huntress z 17 października 2026 r. podał aktywność logowań w około 1000 tenantów Microsoft Entra oraz ponad 300 udanych logowań. To obserwacje uwierzytelnień aplikacji; Huntress rozdziela je od odczytu i wyprowadzenia danych. Rocket Boys
Co obejmują raportowane liczby
W odrębnym pomiarze Huntress odnotował nieautoryzowane logowania w 162 tenantach na 16 października 2026 r., godz. 19:00 UTC. Wartość z 17 października dotyczyła aktywności w około 1000 tenantów i ponad 300 udanych logowań. To różne obserwacje z różnych aktualizacji, a nie wspólny licznik ofiar. Huntress
Różnica ma znaczenie: udane uwierzytelnienie mówi, że aplikacja uzyskała dostęp do środowiska logowania, ale samo nie opisuje, jakie dane później odczytano. Zakres możliwego dostępu zależał od uprawnień przyznanych aplikacji w danym tenancie i mógł obejmować pocztę, OneDrive, SharePoint, Teams oraz dane katalogowe. Huntress
Jak aplikacja logowała się do Microsoft 365
Według Huntress użyto poświadczenia aplikacji ConnectWise Cloud Backup, przechowywanego przez dostawcę. Aplikacja uwierzytelniała się w modelu app-only, czyli jako tożsamość aplikacji, korzystając z uprawnień wcześniej przyznanych jej w tenantach klientów. Nie wymagało to interaktywnego logowania użytkownika, więc zwykły monit MFA dla użytkownika nie blokował tej ścieżki. Huntress
Huntress podał, że 15 października aplikacja pobierała tokeny Microsoft Graph z adresu 144.172.64.128. ConnectWise poinformował 17 października o wyłączeniu dostępu aplikacji Cloud Backup jako działaniu ochronnym. ConnectWise Huntress
Osobne zdarzenie z uprawnieniami administratora
Huntress opisał też odrębną sekwencję w jednym tenancie partnera. Aplikacja ConnectWise Cloud Management – MS Teams przypisała sobie rolę Global Administrator, a następnie dodała sekrety klienta do dwóch innych aplikacji. Huntress nie ustalił, czy za tym zdarzeniem i późniejszymi logowaniami z publicznego adresu IP odpowiadał ten sam operator. Huntress
To zdarzenie nie należy do ogólnego pomiaru aktywności Cloud Backup: dotyczyło innej aplikacji ConnectWise i jednego tenanta. Oddzielny opis wcześniejszego wyłączenia Cloud Backup znajduje się w relacji NeoTeo o ataku na Microsoft 365.
ConnectWise podał w komunikacie z 17 października, że do tego momentu nie miał wskaźników naruszenia hostowanych kopii zapasowych partnerów. To oświadczenie dotyczy archiwów przechowywanych przez usługę Cloud Backup. ConnectWise
