ConnectWise : Microsoft accuse Storm-0940, mais ne dit pas combien de clients sont touchés

Microsoft attribue la récente compromission de la chaîne d'approvisionnement de ConnectWise à Storm-0940, un acteur « aligné sur l'État chinois ». Selon son analyse publiée le 21 octobre 2026, le groupe s'est appuyé sur ARTEX, un framework de test d'intrusion piloté par des agents d'IA, pour viser des centaines d'organisations dans le monde, dès septembre 2026 au plus tard.

Des agents d'IA qui ne dorment pas

ARTEX est un outil open source écrit en Go, doté d'une interface Next.js. Il fonctionne avec n'importe quel modèle d'IA. Interface et sorties sont en anglais par défaut, mais peuvent passer en coréen, mandarin, espagnol ou japonais. Microsoft indique que des acteurs de plusieurs régions l'utilisent et cite un signalement public de son usage dans des vols de données visant des institutions financières coréennes.

Microsoft décrit l'outil ainsi : « ARTEX est un système d'agents pilotés par des LLM qui mènent un test d'intrusion autonome, de la reconnaissance à l'exfiltration de données, avec peu d'intervention humaine » (traduction), selon un passage repris par CyberScoop.

Les agents ne sont pas limités comme des humains : ils travaillent la nuit, le week-end et les jours fériés, et testent plusieurs voies d'attaque en parallèle. Dans plusieurs cas, le délai entre le ciblage initial et l'accès privilégié à l'infrastructure cloud d'une victime a été inférieur à trois heures. Le trafic généré peut déclencher des alertes, mais la rapidité laisse peu de temps aux défenseurs.

Storm-0940 est actif depuis 2021. Il misait jusque-là sur le « password spraying » (essai d'un mot de passe courant sur de nombreux comptes) et sur des applications exposées, puis ajoutait des identifiants à des applications OAuth existantes pour persister dans Microsoft 365. Les secteurs visés vont de l'aérospatiale et la défense aux think tanks, en passant par l'énergie, la finance, le droit et les semi-conducteurs.

Chronologie de l'attaque

Du 10 au 14 octobre 2026, une infrastructure du groupe (144.172.64[.]99) a mené une campagne de password spraying contre 327 comptes répartis dans huit organisations. Microsoft a relevé plus de 151 000 échecs de connexion, avec un pic de 2 900 par minute le 11 octobre. Aucune authentification réussie n'a été observée.

Le 15 octobre, des signalements publics sur la compromission de l'application de sauvegarde cloud de ConnectWise ont fait référence à des indicateurs situés dans la même plage d'adresses. L'avis de l'éditeur, publié le 16 octobre, contenait une adresse identique à celle du password spraying. Après avoir pris le contrôle des identités de plusieurs applications cloud de ConnectWise, les agents ont réutilisé cette plage pour s'authentifier chez des clients, en profitant de la confiance déjà accordée à ces applications, sans connexion interactive d'utilisateur.

Microsoft indique qu'ARTEX a servi à tenter des connexions vers plus de 2 250 tenants, à 2 900 tentatives par minute. Ce chiffre est identique au pic de la campagne de spraying, alors qu'il s'agit de deux opérations distinctes.

Dans certains environnements, les agents sont allés au-delà de l'authentification : opérations Microsoft Graph et sur l'annuaire, reconnaissance, modification d'identifiants d'applications, changements touchant identités, groupes et rôles privilégiés. Ces modifications peuvent rester actives comme porte dérobée même après la correction de l'application d'origine.

Un bilan encore flou

CyberScoop souligne que Microsoft ne dit pas combien de clients ont été compromis. L'éditeur précise que la présence d'une application affectée, voire une authentification réussie, ne prouve pas un accès aux données ni leur exfiltration. La majorité des tentatives a échoué, mais Storm-0940 a obtenu une persistance privilégiée dans le cloud chez de nombreuses organisations, en peu de temps. Microsoft assure qu'aucune faille de ses propres systèmes n'est en cause.

Les sources divergent sur l'ampleur. Digit parle de « plus de 100 organisations », là où Microsoft évoque des centaines d'organisations. Digit semble aussi attribuer à ARTEX en général des chiffres propres au password spraying. Mieux vaut s'en tenir à l'analyse de Microsoft.

« Depuis début octobre, une vague de cyberattaques pilotées par l'IA est en cours », écrit Igor Tsyganskiy, vice-président exécutif de Microsoft, sur LinkedIn, en ajoutant que l'attaque contre ConnectWise n'est que « l'une d'elles » (CyberScoop, traduction).

Les mesures recommandées

Microsoft conseille de garder désactivées les connexions ConnectWise concernées jusqu'aux instructions officielles de restauration. Il déconseille de supprimer d'emblée les applications d'entreprise, afin de préserver configuration et preuves. Il recommande d'examiner les connexions des « service principals » et les journaux d'audit Entra et Microsoft 365, au moins depuis le 15 octobre 2026 et si possible dès le 1er octobre, à la recherche d'ajouts d'identifiants, de consentements, de rôles privilégiés ou de règles de messagerie inhabituelles.

ConnectWise avait temporairement coupé ses services le samedi précédent. Selon CyberScoop, l'entreprise a commencé à les rétablir par phases le mercredi 21 octobre et prévoit plusieurs jours pour la reprise complète.