Microsoft relie Storm-0940 au fonctionnement de la chaîne d'approvisionnement dans ConnectWise avec ARTEX

Microsoft a confirmé qu'un groupe lié à l'État chinois, auquel il appelle Tempête-0940, était responsable du fonctionnement de la chaîne d'approvisionnement qui a affecté l'application de sauvegarde ConnectWise Cloud. Selon la société, l'acteur a utilisé un agent-cadre d'intelligence artificielle appelé ARTICLE automatiser à grande vitesse les tâches de reconnaissance, de numérisation de mot de passe et d'abus des applications OAuth, et ainsi sauter rapidement de l'application compromise aux environnements de vos clients. Ces faits, diffusés par Microsoft, placent l'incident parmi les cas les plus clairs où les outils d'IA agentique ont accéléré les opérations offensives à l'échelle dans les environnements nuageux.

Les éléments confirmés par Microsoft incluent que : Storm-0940 a utilisé ARTEX à « vitesse de la machine » pour attaquer des centaines d'organisations depuis septembre 2026; que dans une période spécifique (10-14 octobre 2026) l'infrastructure de l'acteur a généré plus de 151 000 tentatives d'authentification échouées, avec un pic de 2 900 erreurs par minute; et que le 15 octobre, les agents ont réussi à contrôler l'identité de plusieurs applications Cloud ConnectWise et ont commencé à utiliser ces identités pour s'authentifier dans les environnements clients. Microsoft a également précisé que dans plusieurs incidents dirigés par ARTEX, l'acteur a atteint un accès privilégié à l'infrastructure cloud dans moins de trois heures après le début de l'attaque. La société a également associé Storm-0940 à d'autres méthodes précédentes, comme un botnet appelé Quad7 / CovertNetwork-1658 utilisé dans les campagnes de pulvérisation de mots de passe.

Techniquement, ce qui s'est passé combine trois vecteurs particulièrement dangereux aujourd'hui: le fonctionnement de la chaîne d'approvisionnement (engagement à une demande avec des permis délégués), l'automatisation extrême via des agents d'IA et l'abus de modèles d'autorisation OAuth. ARTEX, selon Microsoft, est un cadre Go pour les opérations d'agents qui a été fermé comme un code public après les abus précédents. Dans cet incident, l'acteur a profité du fait que les applications vendues (les identités de service et leurs références) avaient déjà confiance dans les locataires des clients; en volant ou en contrôlant ces références, la menace pourrait Authentifier sans interaction humaine et opérer avec les permis déjà accordés. Avec cette porte, les actions ont suivi avec reconnaissance par l'intermédiaire de Microsoft Graphh, des changements dans les références d'application pour établir la persistance et les modifications sur les identités, groupes et rôles privilégiés.

Qui cela affecte - t - il? Confirmé: fournisseurs de services gérés (MSP) et des centaines d'organisations clientes de ConnectWise dans des secteurs très divers (lignes aériennes et défense, automobile, énergie, finance, fabrication, semi-conducteurs, logiciels, ONG, etc.). Plus généralement, le modèle d'attaque montre que tout fournisseur ayant des pouvoirs d'application délégués peut servir de vecteur pour engager plusieurs clients : la chaîne est aussi forte que son maillon le plus faible. Microsoft note également que d'autres bandes ont commencé à intégrer ARTEX dans leurs opérations, ce qui amplifie le risque d'attaques similaires sur d'autres fournisseurs et plateformes cloud.

Des conséquences réelles et concrètes. Confirmé et signalé : épuisement des fenêtres de détection par une vitesse élevée des tentatives; dans certains cas, l'acquisition d'un accès privilégié et l'établissement de portes arrière grâce à des modifications aux titres de compétence et aux rôles qui peuvent persister même après avoir atténué l'application initialement compromise. Estimation raisonnable (non entièrement confirmée par Microsoft): La combinaison d'applications AI + avec des privilèges peut augmenter la probabilité de mouvements latéraux et d'exfiltration en moins de temps que les processus humains ne prennent pour réagir, réduisant l'efficacité des contrôles traditionnels qui dépendent de l'analyse manuelle ou des alertes générées par la latence. Informations encore incertaines: le nombre exact de clients ayant un accès privilégié effectif, l'extension des données exfiltrées et la durée réelle des portes arrière dans les environnements touchés.

Ce que les organisations et les utilisateurs devraient faire maintenant. Certaines mesures sont immédiatement défensives et d'autres sont stratégiques pour réduire l'exposition à de telles attaques à l'avenir. Dans l'ordre pratique et concret: 1) Examen et rotation des pouvoirs des demandes de tiers- révoquer les secrets de client et les certificats d'applications suspectes et imposer de nouvelles autorisations administratives; 2) Examiner et réduire au minimum les permis de demande utiliser le consentement administratif plutôt que le consentement délégué dans la mesure du possible; 3) Permettre le consentement et les politiques de gouvernance de l'application(contrôle des applications pouvant obtenir des permis auprès des locataires); 4) Mettre en oeuvre l'accès conditionnel et bloquer l'authentification des IP et des grades associés à l'acteur en plus de restreindre l'accès au graphique et à d'autres IPA sensibles au moyen de politiques axées sur les risques; 5) Examiner les dossiers d'inscription, les changements dans les dossiers de service et les opérations de Microsoft Graphh avec priorité et tenir des registres en dehors de l'environnement engagé; 6) Adopter les pratiques et l'examen périodique du rôle du PIM (Privilèged Identity Management) réduire au minimum les comptes qui peuvent soulever des privilèges; 7) Préparer des cahiers de lecture pour répondre aux incidents mettant l'accent sur l'abus des applications OAuth et l'assainissement complet des directeurs de service engagés.

Pour plus d'administrateurs techniques: auditez toutes les applications et les directeurs de service dans Azure AD, recherchez les changements récents aux secrets ou certificats, supprimez les permis inutilisés et appliquez la politique de consentement administratif pour les applications tierces. Utilisez des solutions de détection d'anomalies et de protection des applications cloud telles que Microsoft Defender for Cloud Apps et configurez des alertes en temps réel sur les changements d'identification et les attributions de rôles. Pour les utilisateurs et les clients de MSP : exigez des bons de transparence et d'atténuation pour vos fournisseurs et modifiez les mots de passe / références critiques si votre MSP confirme l'exposition.

Des outils utiles et des ressources publiques pour mettre en œuvre ces recommandations sont disponibles dans la documentation officielle de Microsoft sur les permissions et le consentement OAuth et dans la couverture de sécurité technique de Microsoft: https: / / learn.microsoft.com / azure / répertoire actif / develop / v2-permissions-and-consent et https: / / www.microsoft.com / sécurité / blog /. Il est également recommandé de suivre les lignes directrices pour la gouvernance et la gestion des fournisseurs et des PSM publiées par les organisations nationales de cybersécurité et les politiques internes de contrôle de l'accès.

Bref, ce que Microsoft a confirmé est deux tendances convergentes : l'exploitation de la confiance implicite dans les identités d'application et l'intégration croissante des agents d'IA dans les chaînes d'attaque opérant à la vitesse de la machine. Bien que certains détails opérationnels et la portée totale de l'intrusion restent à clarifier, la leçon pour l'équipement de sécurité est claire : minimiser les permis, surveiller et régir les applications déléguées et accélérer la détection par des contrôles automatisés sont des étapes essentielles pour réduire la fenêtre d'opportunité que des outils comme ARTEX donnent aux agresseurs bien financés.