AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise

Qu’est-ce qui s’est passé ?

Le 21 octobre 2026, Microsoft a révélé une campagne d’attaque d’envergure menée par un acteur étatique, nommée Storm-0940, qui a compromis la chaîne d’approvisionnement de ConnectWise, entraînant un abus d’identifiants d’application dans les environnements Microsoft 365, selon le Microsoft Security Blog.^[1]

Cet acteur, désigné comme aligné avec la Chine par The Hacker News, était derrière la récente compromission de l’application ConnectWise Cloud Backup.^[1] Durant cet incident, Storm-0940 a utilisé ARTEX, un framework de test d’intrusion basé sur l’IA et développé en Go, pour accélérer ses opérations de balayage et la compromission. ARTEX avait d’ailleurs été rendu fermé après son utilisation abusive contre des institutions financières sud-coréennes, comme l’a également rapporté The Hacker News.

Produits et services concernés

• ConnectWise Cloud Backup : L’application de sauvegarde cloud de ConnectWise, qui a été le point d’entrée initial de la compromission.
• Environnements Microsoft 365 : Les services et données hébergés sur Microsoft 365 sont affectés par l’abus d’identifiants d’application résultant de la compromission de ConnectWise.

Rôle des produits dans l’attaque

L’attaque a exploité la confiance accordée à un fournisseur tiers. En compromettant l’application ConnectWise Cloud Backup, l’acteur Storm-0940 a pu obtenir des identifiants d’application.^[1] Ces identifiants, qui permettent à ConnectWise Cloud Backup d’interagir avec les environnements de ses clients, ont ensuite été utilisés pour un accès non autorisé et un abus de privilèges au sein des environnements Microsoft 365 des entreprises clientes. Cela signifie que l’attaquant a pu se faire passer pour une application légitime pour accéder à des données ou des services dans M365.

Termes techniques expliqués

• Attaque de la chaîne d’approvisionnement (Supply Chain Attack) : C’est une stratégie où un cybercriminel cible une organisation en compromettant un maillon plus faible de sa chaîne de fournisseurs ou de partenaires. Dans ce cas, ConnectWise Cloud Backup est le maillon compromis pour atteindre les entreprises qui l’utilisent.
• ARTEX (Agentic AI Penetration Testing Framework) : Il s’agit d’un outil de test d’intrusion, conçu pour simuler des attaques et identifier des vulnérabilités, qui intègre des capacités d’intelligence artificielle. Il a été détourné par l’acteur Storm-0940 pour automatiser et accélérer la recherche de failles et la compromission de systèmes.
• Abus d’identifiants d’application (Application Credential Abuse) : Cela se produit lorsque des identifiants (comme des clés API ou des jetons d’accès) appartenant à une application légitime sont volés ou compromis. L’attaquant peut alors les utiliser pour accéder à d’autres systèmes ou données, en se faisant passer pour l’application elle-même, souvent avec des privilèges élevés.
• Acteur étatique (Nation-state actor) : Un groupe de cybercriminels qui opère avec le soutien ou sous la direction d’un gouvernement national. Ces acteurs sont généralement très sophistiqués, bien financés et ciblent des objectifs stratégiques comme l’espionnage, le vol de propriété intellectuelle ou la perturbation d’infrastructures.

Périmètre affecté et conséquences métier potentielles

L’abus d’identifiants d’application dans les environnements Microsoft 365 signifie que les données et services gérés par M365 sont potentiellement exposés.

• Accès non autorisé aux données : Les attaquants pourraient accéder à des emails, des documents stockés sur SharePoint ou OneDrive, des conversations Teams, des calendriers et d’autres informations sensibles.
• Interruption des opérations : La manipulation de configurations, la suppression de données ou le blocage d’accès pourraient entraîner une interruption significative des services essentiels à votre activité.
• Fraude et espionnage : Les informations collectées pourraient être utilisées pour de l’espionnage industriel, des campagnes de phishing ciblées ou des tentatives de fraude (par exemple, fraude au président ou virement bancaire frauduleux).
• Perte de productivité : Le temps et les ressources nécessaires pour enquêter sur l’incident, nettoyer les systèmes et restaurer les opérations normales peuvent être considérables.
• Atteinte à la réputation : Une fuite de données ou une interruption majeure peut éroder la confiance des clients, des partenaires et des investisseurs.

Scénario PME concret

Imaginez "Logistique Express", une PME de transport qui utilise ConnectWise Cloud Backup pour sauvegarder ses bases de données clients et ses documents administratifs.^[1] L’entreprise s’appuie également entièrement sur Microsoft 365 pour ses communications internes (Outlook, Teams) et le partage de fichiers (SharePoint, OneDrive). Suite à la compromission de ConnectWise Cloud Backup par Storm-0940, les identifiants d’une application de service utilisée par Logistique Express pour intégrer ses sauvegardes M365 sont dérobés.^[2] L’acteur étatique utilise ces identifiants pour accéder discrètement aux boîtes mail des cadres dirigeants et aux dossiers de projets sur SharePoint. Il ne supprime rien, mais collecte des informations sensibles sur les itinéraires de livraison, les contrats avec les fournisseurs et les stratégies de développement. Quelques semaines plus tard, Logistique Express est la cible d’une tentative de fraude au virement, très sophistiquée et personnalisée, qui semble provenir d’un de ses principaux partenaires logistiques, exploitant les informations volées pour paraître crédible.

Comment savoir si votre entreprise est concernée ?

L’attaque a spécifiquement ciblé l’application ConnectWise Cloud Backup et a mené à l’abus d’identifiants dans les environnements Microsoft 365, comme l’ont rapporté le Microsoft Security Blog et The Hacker News.^[1] Pour déterminer si votre entreprise est potentiellement affectée, suivez ces étapes :

1. Vérifiez l’utilisation de ConnectWise Cloud Backup : La première action est de confirmer si votre entreprise utilise ou a utilisé l’application ConnectWise Cloud Backup. Si vous travaillez avec un prestataire de services gérés (MSP), contactez-le immédiatement pour savoir s’il utilise ce service pour vos sauvegardes.
2. Audit des journaux Microsoft 365 : Examinez attentivement les journaux d’audit de votre environnement Microsoft 365. Recherchez toute activité suspecte, notamment :
   • Des connexions inhabituelles de comptes d’application (service principals) ou d’utilisateurs.
   • Des créations de règles de redirection de courrier inattendues.
   • Des accès à des données sensibles depuis des adresses IP ou des emplacements géographiques inconnus.
   • Des modifications de permissions ou de rôles pour des applications ou des utilisateurs.
3. Vérifiez les intégrations tierces : Listez toutes les applications tierces connectées à votre environnement Microsoft 365, en particulier celles qui ont des privilèges élevés ou qui sont liées à la sauvegarde, à la gestion des données ou à l’automatisation.

Tableau de décision rapide

Actions correctives et mesures d’atténuation

Si vous suspectez une exposition ou si vous utilisez ConnectWise Cloud Backup, voici les actions prioritaires :^[1]

1. Réinitialisation des identifiants : Si vous utilisez ConnectWise Cloud Backup, réinitialisez immédiatement tous les identifiants (mots de passe, clés API, jetons d’accès) associés à cette application, en particulier ceux qui interagissent avec votre environnement Microsoft 365.
2. Renforcement de la sécurité Microsoft 365 :
   • Authentification Multi-Facteurs (MFA) : Assurez-vous que la MFA est activée et appliquée pour tous les utilisateurs, les administrateurs et, si possible, pour les comptes de service et les applications critiques.
   • Principe du moindre privilège : Revoyez et réduisez les permissions accordées aux applications tierces et aux comptes de service dans M365 au strict minimum nécessaire pour leur fonctionnement.
   • Surveillance des applications : Utilisez les outils de sécurité de Microsoft 365 (comme Microsoft Defender for Cloud Apps ou Azure AD Identity Protection) pour surveiller l’activité des applications et détecter les comportements anormaux ou les tentatives d’accès non autorisées.
   • Politiques d’accès conditionnel : Mettez en œuvre des politiques d’accès conditionnel pour restreindre l’accès aux ressources M365 en fonction de la localisation, de l’état de l’appareil ou du niveau de risque.
3. Contactez ConnectWise et votre prestataire : Prenez contact avec ConnectWise pour obtenir des informations spécifiques sur les versions affectées et les mesures recommandées. Si vous travaillez avec un prestataire informatique, demandez-lui quelles actions il a mises en œuvre pour protéger votre environnement.

Contrôles après correction

Une fois les mesures correctives appliquées, il est essentiel de maintenir une vigilance accrue :

• Surveillance continue : Maintenez une surveillance renforcée des journaux d’audit de Microsoft 365, en particulier pour les activités des applications, les tentatives de connexion échouées et les modifications de configuration.
• Audits réguliers : Effectuez des audits réguliers des permissions des applications et des comptes de service pour vous assurer qu’aucun accès excessif n’est accordé ou qu’aucune nouvelle application malveillante n’a été ajoutée.
• Tests d’intrusion : Envisagez des tests d’intrusion ciblés sur vos intégrations tierces et votre environnement M365 pour identifier d’éventuelles failles résiduelles ou de nouvelles vulnérabilités.

Questions à poser à votre prestataire informatique

• "Utilisez-vous ConnectWise Cloud Backup pour nos sauvegardes ? Si oui, quelles versions sont utilisées et sont-elles affectées par cette campagne ?"
• "Quelles mesures spécifiques avez-vous prises pour vérifier l’intégrité de nos environnements Microsoft 365 suite à cette alerte ?"
• "Comment surveillez-vous l’activité des applications tierces connectées à notre environnement Microsoft 365, en particulier celles ayant des privilèges élevés ?"
• "Pouvez-vous nous fournir un rapport d’audit des accès et activités inhabituelles sur nos comptes Microsoft 365 pour les dernières semaines ou mois ?"
• "Quels sont nos plans de réponse en cas de détection d’une compromission avérée de nos identifiants ou de nos données M365 ?"

Points à confirmer et incertitudes

• Versions exactes : Les sources disponibles ne précisent pas les versions exactes de ConnectWise Cloud Backup qui ont été compromises. Il est crucial de se référer aux communications officielles de ConnectWise pour obtenir cette information.
• Mécanisme précis : Le mécanisme exact de la compromission initiale de ConnectWise Cloud Backup par Storm-0940 n’est pas détaillé dans les informations publiques. Comprendre cette vulnérabilité pourrait aider à prévenir de futures attaques similaires.
• Étendue de l’abus : L’étendue précise de l’abus d’identifiants dans les environnements Microsoft 365 (quels types de données ou de services ont été ciblés, combien d’organisations ont été affectées) reste à confirmer et peut varier considérablement d’une victime à l’autre.