Les identifiants des applications cloud de ConnectWise ont donné aux attaquants un accès aux environnements Microsoft 365 des clients, par les permissions que ces applications détenaient déjà. Microsoft estime que Storm-0940, qu'elle décrit comme un acteur aligné sur l'État chinois, est à l'origine de la compromission de la chaîne d'approvisionnement et a utilisé le cadre de tests d'intrusion à agents IA ARTEX pour accélérer les intrusions.
Le rapport de Microsoft du 21 octobre fait état d'authentifications réussies et d'autres activités dans plusieurs environnements clients. Comme les attaquants ont opéré au moyen d'identités d'application autorisées, l'accès n'a pas nécessité de connexion interactive d'un utilisateur.
La distinction entre authentification et exposition de données reste importante. Microsoft a mis en garde : ni la présence d'une application touchée ni une connexion réussie de l'attaquant ne prouvent nécessairement que des données clients ont été consultées ou exfiltrées.
Des tentatives de mot de passe échouées ont précédé l'abus des applications
Avant l'utilisation des identifiants d'application, Storm-0940 a mené une attaque de type password spraying (pulvérisation de mots de passe) entre le 10 et le 14 octobre, selon le récit de Security Affairs des conclusions de Microsoft. Plus de 151 000 tentatives de connexion ont échoué et visaient 327 comptes dans huit organisations. Aucune n'a abouti.
Le 15 octobre, les attaquants utilisaient des identifiants compromis de plusieurs applications cloud ConnectWise pour s'authentifier auprès d'environnements clients. Les tentatives de mot de passe échouées ne permettent pas d'établir comment ces identifiants d'application ont été obtenus.
ARTEX a contribué à automatiser la reconnaissance, le password spraying et l'abus d'applications OAuth. Citant Microsoft, SecurityWeek rapporte que l'acteur a tenté de se connecter à plus de 2 250 locataires après avoir obtenu un accès non autorisé. Ce chiffre décrit des tentatives d'accès, et non un nombre de compromissions confirmées.
Par ailleurs, SecurityWeek a cité les observations de Huntress, selon lesquelles des attaquants ont accédé à des centaines de locataires Microsoft 365, dont plus de 300 locataires Entra, à l'aide d'identifiants compromis d'applications ConnectWise. Selon ce média, ConnectWise a suspendu Cloud Backup, SaaS Security et Cloud Management, parmi plusieurs services, en réponse à l'activité de la mi-octobre.
Les modifications d'annuaire ont compliqué le confinement
Dans plusieurs environnements, Microsoft a suivi l'activité au-delà de la première connexion, jusque dans Microsoft Graph. Les opérations observées comprenaient de la reconnaissance et des modifications d'identifiants d'application, ainsi que des tentatives de modifier des privilèges susceptibles d'élargir ou de prolonger l'accès. Les reportages décrivent également des opérations portant sur des identités, des groupes et des rôles privilégiés.
Ces modifications d'identifiants posent un problème de persistance : selon Microsoft, un accès établi grâce à des identifiants ajoutés par l'attaquant peut subsister après la remédiation de l'application initialement compromise. Se limiter à enquêter sur la première connexion laisserait donc les modifications d'annuaire ultérieures sans examen.
Microsoft recommande de corréler les connexions des principaux de service avec les opérations Microsoft Graph, les modifications d'annuaire et les accès aux ressources. Les enquêteurs doivent vérifier les modifications inattendues d'identifiants ou de privilèges par rapport aux activités d'administration autorisées, suivre les consignes de confinement publiées par ConnectWise et conserver les preuves de l'enquête.
Les détections et les requêtes de chasse de Defender XDR facilitent ce travail. Microsoft met aussi en garde : une recherche d'activité Graph vide ne prouve pas que l'accès ne s'est jamais produit. Les enquêteurs doivent examiner les permissions des applications et les journaux d'authentification des principaux de service en complément de la télémétrie Graph.
Une partie d'une campagne ARTEX plus large
Microsoft a observé Storm-0940 utiliser ARTEX contre des centaines d'organisations dans le monde dès septembre 2026. Plusieurs attaques de cette activité plus large ont abouti à un accès cloud privilégié, et plusieurs cas ont pris moins de trois heures entre le ciblage initial et l'accès privilégié. Ce délai n'a pas été établi pour chaque intrusion ConnectWise.
Selon SecurityWeek, Storm-0940 est actif depuis 2021 au moins. ARTEX a fourni l'automatisation de ses workflows offensifs, tandis que les intrusions ConnectWise reposaient sur des identités d'application compromises et sur leurs permissions existantes. Microsoft a indiqué que cette activité ne résultait ni d'une compromission de ses systèmes, produits ou services internes, ni d'une vulnérabilité de ceux-ci.
