Microsoft signale une campagne mondiale exploitant l'IA pour cibler ConnectWise
Microsoft a identifié une campagne de piratage attribuée à un groupe qu'il suit sous le nom de Storm-0940, qui a tiré parti d'un cadre open source de tests d'intrusion appelé ARTEX pour compromettre ConnectWise, fournisseur de services informatiques. Selon l'éditeur, les attaques ont visé des centaines d'organisations dans le monde et ont abouti, dans de nombreux cas, à l'établissement d'une persistance privilégiée dans le cloud — un accès de haut niveau susceptible de subsister après des opérations de nettoyage.
ConnectWise a publié un communiqué le 16 octobre indiquant qu'elle « enquêta[it] sur de récentes tentatives d’accès non autorisé associées à l’environnement ConnectWise Cloud Backup », mais n'avait pas immédiatement répondu aux demandes de commentaire sur les conclusions de Microsoft au moment du signalement.
Qu'est‑ce qu'ARTEX et comment il a été utilisé ?
ARTEX est présenté comme un cadre open source de test d'intrusion qui permet d'automatiser des tâches de reconnaissance et d'exfiltration en s'appuyant sur n'importe quel modèle d'intelligence artificielle choisi par l'utilisateur. Microsoft souligne que si des outils de tests d'intrusion existent pour des usages légitimes (audit, renforcement de la sécurité), ARTEX peut être configuré pour exécuter de manière autonome des opérations malveillantes lorsqu'il tombe entre de mauvaises mains.
- Acteurs identifiés : Microsoft suit l'opérateur sous le nom de Storm-0940.
- Outil mis en cause : le framework open source ARTEX, capable d'utiliser des modèles d'IA pour automatiser des attaques.
- Cible : ConnectWise (et, par extension, les clients utilisant ConnectWise Cloud Backup).
- Conséquence technique : établissement d'une persistance privilégiée dans le cloud dans plusieurs organisations.
Secteurs affectés
Microsoft signale que la campagne a visé un large spectre d'activités. Les secteurs cités comprennent notamment :
| Secteur | Exemples cités |
|---|---|
| Aérospatiale et défense | Aérospatiale, défense, armée |
| Industrie et technologie | Automobile, semi-conducteurs, logiciels, technologies, industrie manufacturière |
| Énergie et chimie | Énergie, chimie |
| Services et institutions | Services financiers, secteur public, droit, médias, groupes de réflexion, associations |
Ce que l'on sait et ce qui reste à préciser
Microsoft indique que la majorité des tentatives ont échoué, mais que Storm-0940 a néanmoins réussi à obtenir des accès durables dans un nombre significatif d'organisations et ce, « dans un délai très court ». Le rapport met en lumière l'utilisation croissante d'outils d'IA pour automatiser et accélérer des phases d'attaque — reconnaissance, exploitation et exfiltration — ce qui complexifie la détection et le remédiation.
Plusieurs points restent à clarifier publiquement : l'étendue précise des compromises chez les clients de ConnectWise, la liste complète des victimes, l'impact concret sur les données et services, et les mesures techniques mises en œuvre pour supprimer les accès persistants. ConnectWise a dit enquêter, et Microsoft a publié ses analyses, mais ni l'entreprise ni les autorités n'ont à ce stade fourni de bilan exhaustif accessible au public.
Conséquences pour les organisations françaises
Pour les entreprises et administrations utilisant des services de sauvegarde cloud ou des plateformes d'administration à distance, cette alerte illustre plusieurs impératifs :
- vérifier les configurations et les accès administratifs des solutions tierces ;
- surveiller la présence d'artefacts de persistance dans les environnements cloud ;
- mettre en œuvre des mesures d'authentification forte et de segmentation des privilèges.
Microsoft et d'autres éditeurs de sécurité publient régulièrement des recommandations techniques après ce type d'alerte. Les organisations concernées doivent suivre ces guides et, le cas échéant, contacter leurs fournisseurs et autorités compétentes en cybersécurité pour coordonner la réponse.
