Des applications préalablement autorisées ont ouvert aux attaquants une voie d'accès aux environnements clients de Microsoft 365, lors d'une compromission de la chaîne d'approvisionnement de ConnectWise, selon Microsoft. L'entreprise attribue l'opération à Storm-0940, un groupe lié à l'État chinois qui, selon elle, aurait utilisé ARTEX, un cadre de tests d'intrusion fondé sur l'IA agentique, pour accélérer ses attaques.
Ces constats figurent parmi les actualités couvertes par la lettre d'information de Security Affairs du 25 octobre 2026. Parmi les autres divulgations : des recommandations défensives contre le ransomware SafePay, un logiciel malveillant déguisé en outils destinés aux fondateurs de cryptomonnaies, et une peine de prison pour un participant à des programmes de piratage et de fraude.
Les clients de ConnectWise invités à préserver les preuves et à examiner l'activité des applications
Les organisations qui enquêtent sur la compromission de ConnectWise devraient examiner les locataires où des intégrations concernées avaient été autorisées, y compris celles qu'elles n'utilisent plus, comme le recommande Microsoft dans son analyse du 21 octobre. L'éditeur conseille d'identifier les applications par leurs identifiants plutôt que par leurs noms d'affichage.
Le mécanisme d'accès reposait sur la confiance déjà accordée aux applications. En exploitant des éléments d'authentification d'applications compromis, Storm-0940 pouvait s'authentifier auprès des environnements clients sans connexion interactive d'un utilisateur. Microsoft a relevé ensuite une activité Microsoft Graph impliquant des actions de reconnaissance, des modifications des identifiants d'applications et des tentatives de modification des privilèges susceptibles d'élargir l'accès ou d'aider à le maintenir.
L'attribution de Microsoft relie Storm-0940 à la compromission d'une application multilocataire de ConnectWise. Dans le cadre de la campagne ARTEX plus large du groupe, que Microsoft a observée dès septembre 2026, des centaines d'organisations dans le monde ont été ciblées. Plusieurs attaques ont permis d'obtenir un accès privilégié au cloud ; dans plusieurs cas, moins de trois heures se sont écoulées entre le ciblage initial et cet accès. Ces résultats n'établissent pas l'issue pour chaque organisation ciblée ni pour chaque client de ConnectWise.
Pour l'opération visant ConnectWise, Microsoft décrit ARTEX comme ayant assisté les attaquants dans le balayage, la reconnaissance, la pulvérisation de mots de passe et l'exploitation abusive d'applications OAuth. L'entreprise précise que cette activité ne résulte pas d'une compromission ni d'une vulnérabilité touchant les systèmes internes, produits ou services de Microsoft.
Microsoft met aussi en garde contre l'assimilation entre, d'une part, l'exposition d'une application ou une authentification réussie d'un attaquant et, d'autre part, un accès confirmé aux données clients ou leur vol. À l'inverse, une recherche vide dans les journaux d'activité Graph n'établit pas qu'aucun accès n'a eu lieu ; les enquêteurs doivent évaluer ces journaux avec les permissions des applications et les preuves d'authentification des principaux de service.
Son conseil en matière de confinement consiste à laisser désactivées les connexions d'applications ConnectWise concernées, en attendant des instructions formelles de restauration de la part de ConnectWise. Les administrateurs doivent conserver les configurations et les dossiers d'enquête avant de supprimer les applications d'entreprise, sans reporter le confinement urgent pour achever les exportations. Microsoft recommande d'examiner l'activité depuis le 15 octobre au moins, d'étendre les recherches de connexions des principaux de service jusqu'au 1er octobre lorsque des journaux existent, et d'enquêter sur les activités liées antérieures. Les authentifications réussies et échouées doivent être examinées séparément.
Les recommandations sur SafePay privilégient les points d'entrée et le contrôle des comptes
Des entreprises et des infrastructures critiques en Amérique du Nord, en Amérique du Sud, en Europe et en Australie subissent une activité très intense de l'opération SafePay depuis août 2024, selon l'avis publié par la CISA le 20 octobre.
L'avis décrit plusieurs voies d'entrée dans le réseau d'une victime : hameçonnage, vol ou devinette de mots de passe, et exploitation de faiblesses des systèmes de sécurité. Après l'intrusion, les attaquants s'assurent le contrôle au moyen de comptes nouvellement créés ou détournés. Des utilitaires système légitimes servent ensuite à se déplacer d'un système à l'autre, à rechercher des fichiers de valeur et à perturber les protections de sécurité. Les victimes finissent par perdre l'accès à leurs fichiers chiffrés et reçoivent une demande de paiement en cryptomonnaie.
Les défenses recommandées répondent à ces étapes : corriger les vulnérabilités connues et exploitées, accorder une attention particulière aux systèmes exposés sur Internet, comme les pare-feux et autres équipements de périphérie, restreindre les privilèges et les outils d'administration, et renforcer la gestion des identités et des identifiants. Les agences appellent aussi à l'authentification multifacteur, en particulier pour la messagerie web, les VPN et l'accès aux systèmes critiques.
Les indicateurs publiés ont été observés entre novembre 2024 et août 2026. Les défenseurs sont invités à examiner le contexte avant de bloquer les adresses IP ou les outils listés, car certains fichiers de l'avis sont des utilitaires légitimes.
Faux accélérateur Web3 proposant des audits qui dissimulaient des logiciels malveillants
Une opération distincte a utilisé l'apparence d'un accélérateur de start-up pour inciter des fondateurs de cryptomonnaies à utiliser des outils de développement malveillants, selon le rapport d'Elastic Security Labs du 12 octobre.
Agissant sous l'identité d'Apex Accelerator, le groupe a passé des mois à se construire une présence publique et proposait des audits de sécurité, des outils de programmation et des crédits gratuits pour Claude et Gemini. Son site Apex Arena affirmait avoir accompagné plus de 200 projets de son portefeuille et levé plus de 124 millions de dollars. Elastic décrit de faux avis et une page d'invitation à un événement en présentiel annoncé comme autant d'efforts pour asseoir sa crédibilité.
Une alerte concernant @apexacc/cli a déclenché l'enquête d'Elastic. Les chercheurs ont conclu que le paquet npm était malveillant dès sa première publication, et non qu'il était devenu malveillant à la suite d'une compromission ultérieure d'un paquet légitime. L'éditeur a ensuite publié un autre paquet malveillant, @apexacc/audit.
Elastic a signalé des logiciels malveillants et des portes dérobées pour macOS comme pour Windows, dont CloudSyncD sur macOS et un logiciel voleur d'informations sur mesure pour Windows, qui envoyait les données dérobées via Telegram. Un agent de programmation légitime repackagé acheminait aussi les requêtes adressées aux modèles par une infrastructure contrôlée par les attaquants.
La fonction d'audit offrait une fausse assurance. Les chercheurs ont constaté des résultats fabriqués pour les dix-huit outils de @apexacc/audit. Par ailleurs, ils ont soumis un projet fictif au service de notation à distance utilisé par @apexacc/cli ; celui-ci a obtenu 51/100, bien que le service ait signalé que son évaluateur d'IA était indisponible.
Des intrusions dans des cabinets fiscaux valent une peine de huit ans de prison
Chukwuemeka Victor Amachukwu, 40 ans, originaire du Nigeria, a été condamné à huit ans de prison après avoir plaidé coupable de complot en vue de commettre des intrusions informatiques et de complot en vue de commettre une fraude électronique, selon l'annonce du bureau du procureur des États-Unis pour le district sud de New York, publiée le 19 octobre.
D'après le récit des procureurs, fondé sur les dossiers judiciaires et les déclarations, le programme de piratage visant des cabinets fiscaux remonte à 2019 environ, au moins. Le spearphishing a permis aux complices d'accéder aux systèmes de cabinets de préparation fiscale américains et de voler des informations fiscales et d'identité concernant au moins environ 800 clients. Au total, les complices ont obtenu des informations d'identité volées appartenant à des milliers de personnes.
Les déclarations fiscales frauduleuses visaient au moins environ 8,4 millions de dollars de remboursements, dont au moins environ 2,5 millions de dollars ont été obtenus. D'autres demandes frauduleuses présentées dans le cadre du programme de prêts d'urgence pour préjudice économique (Economic Injury Disaster Loan) de la Small Business Administration ont rapporté au moins environ 819 000 dollars. Dans une fraude à l'investissement distincte, Amachukwu s'est fait passer pour un financier fortuné basé à l'étranger afin de vendre des investissements inexistants en lettres de crédit stand-by ; ce stratagème a rapporté plus de 7 millions de dollars à lui et à ses coauteurs.
La peine comprend également un an de liberté surveillée, la restitution de 3 647 629,39 dollars et la confiscation de 10 846 634,39 dollars.
Microsoft présente des contrôles pour les agents au sein des organisations
Parallèlement aux divulgations d'incidents, Microsoft a profité d'une annonce du 19 octobre pour décrire des extensions de Project Perception destinées à gérer les agents d'IA en entreprise.
Les contrôles proposés attribuent aux agents des identités et des permissions distinctes de celles des employés qui les parrainent. Microsoft décrit Dynamic Permissions, qui limite l'autorité à une tâche et à sa durée, Dynamic Agent Risk, qui réévalue le comportement et le contexte, et Dynamic Conditional Access, qui modifie les accès à mesure que le risque évolue. Les Guardian Agents sont conçus pour appuyer l'investigation et le confinement.
Ce sont là les affirmations de Microsoft concernant ses capacités. Selon la conception annoncée, l'application des règles se situe en dehors du modèle, ce qui permet à des contrôles indépendants de restreindre les ressources, de retirer les droits d'écriture, d'exiger une approbation humaine vérifiée ou d'arrêter un agent lorsque cela se justifie.
