Microsoft attribue l'attaque ConnectWise à un groupe lié à la Chine, qui a automatisé ses intrusions avec un outil d'IA

Le 21 octobre, Microsoft a publié son analyse de la compromission de ConnectWise Cloud Backup : elle l’attribue à Storm-0940, un groupe actif depuis 2021 qu’elle lie à l’État chinois, et qui a utilisé ARTEX, un logiciel libre de test d’intrusion (outil normalement employé par des auditeurs pour simuler une attaque) dans lequel des agents IA enchaînent seuls reconnaissance, intrusion et vol de données. Du 10 au 14 octobre, ces agents ont testé des mots de passe en masse sur des comptes Microsoft 365 (327 comptes dans huit organisations, plus de 151 000 tentatives échouées), puis, une fois les identifiants des applications ConnectWise en main, ont tenté de se connecter à plus de 2 250 espaces clients Microsoft 365, en obtenant dans plusieurs cas des droits d’administration en moins de trois heures ; à l’intérieur, ils ont ajouté des identifiants à des applications existantes et modifié des rôles pour conserver l’accès. Microsoft précise que ses propres produits n’ont pas été compromis et qu’une connexion réussie ne prouve pas à elle seule un vol de données. Nous signalions le 19 octobre que des identifiants volés de ConnectWise ouvraient l’accès aux comptes de centaines d’entreprises ; la nouveauté est l’ampleur (des centaines d’organisations visées depuis septembre), l’automatisation par IA et la liste précise des vérifications demandées par Microsoft : remonter les connexions des applications jusqu’au 1er octobre, conserver les journaux avant tout nettoyage, et contrôler les identifiants ajoutés, les consentements d’applications et les rôles privilégiés. Ce que cela change pour vous : si un prestataire gère votre Microsoft 365, demandez-lui un compte rendu écrit de ces vérifications, qu’il laisse les connexions ConnectWise désactivées jusqu’aux instructions officielles de restauration, et faites activer la double authentification et le verrouillage après échecs sur tous les comptes, y compris ceux des anciens salariés.