Microsoft lie le piratage de ConnectWise à un groupe aligné sur la Chine

Microsoft a annoncé mercredi 21 octobre que Storm-0940 était à l'origine de la récente compromission de ConnectWise Cloud Backup. Microsoft décrit Storm-0940 comme un acteur de la menace aligné sur l'État chinois. Selon l'entreprise, le groupe a utilisé un cadre de test de pénétration par IA agentique appelé ARTEX pour automatiser ses attaques, et "Storm-0940 a utilisé ARTEX pour atteindre plus de 2 250 locataires à raison de 2 900 tentatives de connexion par minute, un rythme qui laisse peu de temps aux défenseurs pour détecter et réagir", a écrit Microsoft Threat Intelligence.microsoft.com

Il s'agit de la première attribution publique de cet incident. Avant mercredi, ni ConnectWise ni des chercheurs externes n'avaient lié les attaques à un groupe connu.cyberscoop.com

L'IA à la vitesse de la machine

Microsoft a indiqué que Storm-0940 est actif depuis 2021 et vole des données dans de nombreux secteurs. Dès septembre 2026, il a utilisé ARTEX contre des centaines d'organisations. Les cibles comprenaient l'aérospatiale et la défense, le gouvernement, les services financiers, les entreprises de semi-conducteurs et les groupes de réflexion. Dans plusieurs cas, le groupe a obtenu un accès privilégié au cloud moins de trois heures après avoir ciblé une victime, selon Microsoft.microsoft.com

ARTEX est open source et fonctionne avec n'importe quel modèle d'IA. Microsoft le qualifie de "système d'agents pilotés par LLM qui effectuent un test de pénétration autonome, de la reconnaissance à l'exfiltration de données, avec peu d'interaction humaine nécessaire". L'entreprise a précisé que des acteurs de la menace dans plusieurs régions l'utilisent.cyberscoop.com

Microsoft a retracé une campagne de pulvérisation de mots de passe (password-spraying) menée du 10 au 14 octobre vers la même infrastructure. Elle a ciblé 327 comptes dans huit organisations et a enregistré plus de 151 000 échecs de connexion, mais aucun succès. Le 15 octobre, les agents IA se sont connectés aux locataires des clients en utilisant des identifiants d'application ConnectWise volés. Dans certains environnements, ils ont procédé à des reconnaissances, modifié les identifiants d'application et altéré les rôles privilégiés, a déclaré Microsoft.microsoft.com

Conséquences pour les clients

L'attaquant a utilisé un identifiant compromis pour l'application de sauvegarde multi-locataire, anciennement appelée SkyKick, pour obtenir des jetons Microsoft Graph sans qu'aucun utilisateur ne se connecte. Cela signifie que l'authentification multifacteur n'a pas pu l'arrêter. Huntress a confirmé des connexions non autorisées dans 162 locataires. Le 17 octobre, ConnectWise a désactivé sept identités d'application et suspendu Cloud Backup, SaaS Security et Cloud Management. L'entreprise a déclaré n'avoir aucune preuve que les archives de sauvegarde aient été compromises.csoonline.com+2

Mercredi, ConnectWise a annoncé avoir commencé à restaurer les services par phases et prévoit que le rétablissement prendra plusieurs jours. Elle a également conseillé aux clients de garder leurs connexions désactivées pour le moment.cyberscoop.com

Questions sans réponse

Microsoft n'a pas précisé combien d'organisations ont été compromises. Elle a également noté qu'une connexion réussie "n'indique pas nécessairement que les données des clients ont été consultées ou exfiltrées". Cependant, les modifications d'identifiants effectuées par les agents peuvent rester en place comme portes dérobées même après que l'application d'origine a été corrigée, a averti l'entreprise.microsoft.com

Le vice-président exécutif de Microsoft, Igor Tsyganskiy, a déclaré dans une publication LinkedIn que "depuis début octobre, une vague de cyberattaques pilotées par l'IA est en cours". Il a qualifié l'attaque de ConnectWise d'"une parmi tant d'autres".cyberscoop.com