每日简报
ConnectWise在攻击者入侵Microsoft 365租户后暂停云备份
今天的简报涵盖了 ConnectWise 在 M365 租户遭到入侵后暂停应用程序身份，以及一个恶意 npm 包提供 shellcode 加载器的情况。
5 条新闻阅读需 1 分钟
威胁行为者窃取了 ConnectWise 云备份凭证，访问了至少 173 个 Microsoft 365 客户租户，导致 ConnectWise 禁用了七个应用程序身份并暂停了其云备份服务。
在软件供应链风险方面，研究人员发现了一个名为 imgdecode 的恶意 npm 包，该包与 MALFEX 活动有关，它会加载一个本地 DLL 来获取和执行 Windows 系统上的 shellcode。
黑客利用被盗用的 ConnectWise 凭证登录 173 个 Microsoft 365 租户
攻击者利用被盗用的 ConnectWise Cloud Backup 凭证，对 173 个 Microsoft 365 合作伙伴和客户租户进行了未经授权的登录。该应用程序拥有对邮箱、SharePoint、OneDrive 和目录数据的广泛权限。
- 为何重要
- 使用 ConnectWise Cloud Backup 的托管服务提供商及其客户面临着 Microsoft 365 服务中租户数据普遍遭受未经授权访问的问题。
ConnectWise在攻击者入侵Microsoft 365租户后暂停云备份
ConnectWise 在威胁行为者未经授权访问其云备份服务并禁用七个应用程序身份后，导致 Microsoft 365 租户受到损害。
- 为何重要
- 依赖 ConnectWise 云管理和备份解决方案的组织面临着其 Microsoft 365 租户数据可能暴露给未经授权的威胁行为者的风险。
MALFEX npm 包 'imgdecode' 隐藏 Windows 原生插件中的 Shellcode 加载器
一个名为“imgdecode”的恶意npm包（MALFEX攻击活动的一部分）被发现隐藏了一个Windows DLL文件，该DLL文件被嵌入到一个Node.js插件中。当在Windows系统上调用该DLL文件时，它会从GitHub下载加密的shellcode并将其注入到dllhost.exe文件中。
黑客通过 ConnectWise 供应链攻击入侵 Microsoft 365 租户
由于源网站受到 Cloudflare 安全验证的阻止，无法检索请求的文章内容。
Drupal修复了关键的远程代码执行漏洞，并警告称可能很快会出现新的攻击手段。
Drupal 修复了两个严重漏洞，攻击者可以利用这些漏洞在运行任何受支持版本的内容管理系统的网站上远程执行代码。
要点摘要
- ConnectWise 于 2026 年 10 月 17 日禁用了七个应用程序身份，以阻止对 Microsoft 365 租户的未经授权的访问。
- 攻击者利用被盗用的 ConnectWise 凭据入侵了至少 173 个合作伙伴和客户的 Microsoft 365 环境。
- 恶意 npm 包 imgdecode 加载一个 Windows DLL，该 DLL 获取解密后的 shellcode 并将其注入到 dllhost.exe 中。