Microsoft attribue à un groupe proche de Pékin le piratage du service de sauvegarde ConnectWise

Du 10 au 14 octobre, une même adresse IP frappe à la porte de 327 comptes Microsoft 365 répartis dans huit organisations, jusqu'à 2 900 fois par minute au plus fort, le 11 octobre. Plus de 151 000 tentatives échouent, sans une seule connexion réussie. Dès les 15 et 16 octobre, les indicateurs publiés sur le piratage de ConnectWise pointent vers la même plage d'adresses, un recoupement que relève Microsoft.

Le 21 octobre, Microsoft Threat Intelligence a publié son analyse. Selon elle, le groupe Storm-0940, qu'elle décrit comme aligné sur l'État chinois, est responsable de la compromission de ConnectWise Cloud Backup, le service de sauvegarde de Microsoft 365 de l'éditeur américain, révélée mi-octobre. Microsoft parle d'une évaluation, pas d'une certitude. Le groupe aurait automatisé ses attaques avec ARTEX, un outil libre de test d'intrusion qui confie l'essentiel du travail à des agents d'IA.

Un outil de test d'intrusion qui travaille presque seul

ARTEX est un système de plusieurs agents d'IA, écrit en langage Go, qui peut s'appuyer sur n'importe quel modèle. Selon Microsoft, il automatise un test d'intrusion de bout en bout, de la reconnaissance jusqu'à la sortie des données, avec peu d'intervention humaine. Plusieurs groupes malveillants s'en servent. Microsoft évoque des informations publiques sur des vols de données dans des banques coréennes, dont nous avions parlé le 11 octobre, sans les confirmer.

Storm-0940 l'aurait utilisé dès septembre 2026 pour accélérer chaque étape : balayage des cibles, essais de mots de passe en masse, détournement d'applications autorisées. Des centaines d'organisations ont été visées dans le monde, dans l'aérospatial, la défense, l'énergie, la finance, l'administration, le droit, l'industrie, les médias ou les semi-conducteurs.

Plus de 2 250 clients visés, parfois piégés en moins de trois heures

La pièce maîtresse, ce sont les identifiants d'applications ConnectWise volés, comme nous l'avions raconté le 18 octobre. Avec eux, le groupe a tenté de se connecter à plus de 2 250 environnements Microsoft 365. Ces applications ouvrent une session sans qu'aucun utilisateur ait à se connecter : une fois entrés, les attaquants ont exploré les annuaires, modifié des identifiants d'applications et changé des rôles et des groupes. Dans un cas cité par Microsoft, une application de gestion ConnectWise s'est attribué le rôle d'administrateur général.

Dans plusieurs cas, il s'est écoulé moins de trois heures entre le premier ciblage et un accès privilégié. La plupart des tentatives ont toutefois échoué. Microsoft ne donne pas le nombre d'environnements réellement compromis et précise qu'une connexion réussie « ne signifie pas nécessairement » que des données ont été consultées ou volées.

Ce qu'il faut vérifier si vous utilisiez ConnectWise Cloud Backup

Selon Microsoft, aucune faille de ses systèmes ou produits n'est en cause ici : les pirates se sont servis d'applications auxquelles les clients avaient eux-mêmes accordé de larges droits. Les recommandations de Microsoft portent donc sur ces autorisations :

• laisser les connexions des applications ConnectWise désactivées jusqu'à ce que l'éditeur publie ses consignes officielles de rétablissement ;
• ne pas supprimer d'emblée les applications concernées : conserver d'abord leur configuration et les preuves ;
• rechercher les applications par leur identifiant, pas par leur nom affiché ;
• examiner les connexions des « principaux de service » (les comptes techniques des applications) depuis le 15 octobre, et depuis le 1er octobre si les journaux le permettent ;
• vérifier dans les journaux d'audit d'Entra ID et de Microsoft 365 les ajouts d'identifiants, les nouveaux rôles privilégiés, les consentements accordés et les accès aux messageries et aux fichiers ;
• retirer aux applications tierces les droits dont elles n'ont pas besoin.

Une question reste ouverte : dans combien de ces environnements les pirates ont-ils réellement lu des courriels ou des fichiers ? Ni Microsoft ni ConnectWise ne l'ont dit à ce stade.