Une cyberattaque contre ConnectWise a ouvert la porte à une vaste campagne d’espionnage visant des entreprises clientes de son service Cloud Backup. Microsoft attribue l’opération à Storm-0940, un groupe lié à l’État chinois, qui s’est appuyé sur des agents d’intelligence artificielle pour automatiser ses attaques à une vitesse difficilement soutenable pour les équipes de sécurité.
Les identifiants de ConnectWise utilisés comme cheval de Troie
Les pirates ont compromis des identifiants d’applications utilisés par ConnectWise pour communiquer avec les environnements Microsoft 365 de ses clients. Ces accès bénéficiaient déjà d’autorisations légitimes, permettant aux attaquants de se présenter comme des applications approuvées plutôt que comme de nouveaux utilisateurs suspects.
Microsoft indique que plus de 2 250 environnements ont été ciblés, avec des pointes dépassant 2 900 tentatives de connexion par minute. Dans plusieurs organisations, les pirates ont ensuite accédé à Microsoft Graph, modifié des identifiants d’applications ou tenté d’obtenir des privilèges supplémentaires afin de conserver un accès persistant.
ARTEX transforme l’attaque en opération industrielle
Cette cadence a été rendue possible par ARTEX, un framework d’agents IA initialement conçu pour tester la sécurité informatique. L’outil avait déjà été impliqué dans des cyberattaques contre des banques sud-coréennes, poussant son développeur à abandonner son modèle open source.
Le cas illustre une évolution déjà observée lors d’attaques menées par des agents IA autonomes : l’intelligence artificielle permet de tester simultanément de nombreuses voies d’intrusion et de réduire considérablement le délai laissé aux défenseurs. Des agents avaient également été au cœur d’un incident visant Hugging Face.
ConnectWise a suspendu Cloud Backup et révoqué les identifiants concernés. L’entreprise affirme que les archives de sauvegarde restent chiffrées et qu’aucun élément n’indique leur compromission. L’incident montre néanmoins qu’une attaque de chaîne d’approvisionnement combinée à des agents IA peut désormais transformer quelques identifiants volés en campagne massive de hacking en seulement quelques minutes.
