Méthode d'attaque ayant contourné les mesures de sécurité

L'accès décrit par Microsoft ne nécessitait ni mots de passe utilisateur ni authentification multifacteur. L'attaquant a plutôt utilisé des identités d'application de ConnectWise qui avaient été autorisées dans leur environnement Microsoft 365, ou tenant.

Permissions des identités d'application

Celui qui contrôle ces identités dispose, dans chacun de ces tenants, des permissions de l'application. Un outil de sauvegarde, par exemple, nécessite des droits étendus pour lire et restaurer des données, a relevé Justin Kohler, de SpecterOps, cité par Infosecurity Magazine.

Calendrier des attaques

Dans plusieurs cas de la campagne menée depuis septembre, moins de trois heures se sont écoulées entre le premier ciblage et l'accès privilégié, selon Microsoft. L'entreprise ne précise pas si les tenants touchés étaient des clients de ConnectWise.

Attribution par Microsoft

Le récit repose sur une publication de Microsoft Security Research et de Microsoft Threat Intelligence, résumée le 22 octobre dans une brève d'ActuIA. Microsoft « estime » que Storm-0940 est responsable de la compromission, sans publier de niveau de confiance.

Réponse de ConnectWise

Le 19 octobre, ConnectWise a écrit dans un avis, cité par Infosecurity Magazine, qu'il ne pouvait pas « discuter de l'attribution à ce stade ». Le 21 octobre, l'entreprise a reconnu les conclusions de Microsoft sur la page d'avis de son Trust Center, en notant que des acteurs étatiques ciblent de plus en plus la chaîne d'approvisionnement logicielle.

Outil ARTEX utilisé

ARTEX, un accélérateur post-intrusion, Microsoft écrit que Storm-0940 a utilisé ARTEX pour accélérer la reconnaissance et le balayage, la pulvérisation de mots de passe et l'abus d'applications OAuth auprès des victimes en aval. La publication ne dit pas comment Storm-0940 a obtenu les identités d'application de ConnectWise.

Capacités d'ARTEX

ARTEX « peut utiliser n'importe quel modèle d'IA » et mène un test d'intrusion, de la reconnaissance à l'exfiltration, « avec peu d'interaction humaine », écrit Microsoft. La part humaine de cette opération n'est pas précisée.

Réseau d'appareils compromis

Dans une publication du 31 octobre 2024, Microsoft a écrit que Storm-0940 a exploité des identifiants obtenus par CovertNetwork-1658, un réseau d'appareils compromis géré par un acteur situé en Chine. Dans environ 80 % des cas, ce réseau n'a tenté qu'une seule connexion par compte et par jour.

Campagne de pulvérisation de mots de passe

La pulvérisation de mots de passe menée du 10 au 14 octobre 2026, que Microsoft relie à l'infrastructure de Storm-0940, a produit plus de 151 000 échecs contre 327 comptes issus de huit organisations. Cela représente en moyenne plus de 460 échecs par compte sur cinq jours. Microsoft n'a observé aucune authentification réussie dans ce cadre.

Origine et utilisation d'ARTEX

Outil publié en juillet et lié à des intrusions en Corée du Sud, ARTEX est un système multi-agents écrit en Go, publié en open source. Selon une note de la Cloud Security Alliance, il a été mis en ligne le 26 juillet 2026 par un développeur qui signe Autumn-27.

Retrait et statut d'ARTEX

Le 8 octobre, selon la Cloud Security Alliance, le développeur a retiré le projet de GitHub et annoncé la fin des mises à jour ainsi que le passage à un code fermé. Une page de projet contenant des dossiers de code reste publique sur GitHub au 22 octobre, sans licence affichée.

Utilisation mondiale d'ARTEX

Microsoft affirme avoir identifié des acteurs malveillants qui utilisent ARTEX « dans plusieurs régions du monde ». Il ne les nomme pas. ActuIA a décrit le 20 octobre une autre campagne, criminelle, menée avec des agents d'IA contre les sites de plus de 100 entreprises.

Ciblage par Storm-0940

Microsoft écrit que Storm-0940 a utilisé ARTEX pour « tenter de se connecter à plus de 2 250 tenants », et que la majorité de ce ciblage a échoué. Il ne donne aucun nombre de tenants compromis.

Accès réussi non garanti

Une authentification réussie de l'attaquant « n'indique pas nécessairement » un accès aux données ni leur exfiltration, précise la publication. Le titre de The Register, selon lequel la faille ConnectWise a « lâché des espions chinois sur 2 250 tenants cloud », va au-delà de la publication.

Statistiques de l'attaque

Le chiffre de 2 900 par minute apparaît deux fois dans la publication. Il comptabilise les tentatives de connexion pour l'activité suivant l'accès à ConnectWise. Il comptabilise aussi les échecs, lors du pic du 11 octobre de la pulvérisation de mots de passe menée du 10 au 14 octobre. Cela a précédé les premiers signalements publics, que Microsoft date du 15 octobre.

Données de Huntress

Les chiffres du terrain proviennent de Huntress, un éditeur de sécurité qui a examiné plus de 10 000 tenants équipés d'applications ConnectWise. Il a dénombré 162 tenants présentant des connexions non autorisées confirmées le 16 octobre.

Ampleur de l'attaque

Le 17 octobre, Huntress a relevé près de 1 000 tenants ciblés depuis une seule adresse IP, dont plus de 300 avec une connexion réussie. Dans une cinquantaine de tenants suivis par Huntress, des applications se sont attribué elles-mêmes des rôles d'administrateur de l'annuaire, principalement le rôle d'administrateur Exchange.

Compromission du rôle d'administrateur

Huntress documente un cas unique d'auto-attribution du rôle d'administrateur général, qui confère tous les droits sur le tenant, par l'application ConnectWise Cloud Management pour Teams.

Actions de ConnectWise

ConnectWise a désactivé sept identités d'application ConnectWise. L'éditeur a d'abord signalé le 16 octobre des « tentatives » d'accès non autorisé à l'environnement Cloud Backup, anciennement SkyKick. Le 17 octobre, il a reconnu des accès non autorisés à des identités d'application.

Mesures de sécurité prises

Il a désactivé sept identités et révoqué les certificats des connexions touchées. SaaS Security et Cloud Management, intégrées à Cloud Backup, ont été suspendues. Le 19 octobre, tous les comptes et identifiants de l'environnement touché ont été réinitialisés.

Processus de restauration

La restauration par étapes a commencé le 21 octobre et durera « plusieurs jours ». Les archives de sauvegarde restent « chiffrées, isolées et préservées, sans indication de compromission », selon ConnectWise.

Recommandations de Microsoft

La publication de Microsoft donne des instructions que la page d'état de ConnectWise ne contient pas. Parmi les mesures immédiates recommandées : laisser désactivées les connexions ConnectWise touchées jusqu'à la remise d'instructions formelles de restauration.

Préservation des journaux

Ne pas supprimer les applications d'entreprise lors de la première réponse, afin de préserver la configuration et les preuves, et conserver disponibles les journaux de connexion et d'audit de Microsoft Entra. Examiner l'activité depuis au moins le 15 octobre 2026 et, lorsque les journaux existent, étendre l'examen des connexions des principaux de service au 1er octobre.

Examen des connexions

Examiner séparément les connexions réussies et échouées des principaux de service, sans se limiter aux adresses IP publiées. Auditer l'ajout d'identifiants, de nouvelles applications, les attributions de rôles et les consentements.

Préservation des preuves

Supprimer les identifiants non autorisés confirmés seulement après avoir préservé les preuves. ConnectWise indique que les jetons d'accès déjà émis « peuvent rester utilisables » jusqu'à leur expiration ou leur invalidation.

Mises à jour de ConnectWise

L'entreprise annonce deux mises à jour par jour à partir du 22 octobre. Le 20 octobre, elle essayait encore de « déterminer comment l'accès non autorisé s'était produit initialement ».