Une cyberattaque visant ConnectWise a ouvert la voie à une vaste campagne d’espionnage ciblant les clients de son service Cloud Backup. Microsoft attribue cette opération à Storm-0940, un groupe lié à l’État chinois, qui a utilisé des agents d’intelligence artificielle pour automatiser ses attaques à une vitesse difficile à gérer pour les équipes de sécurité.
Utilisation des identifiants ConnectWise comme cheval de Troie
Les hackers ont compromis les identifiants de l’application utilisée par ConnectWise pour communiquer avec les environnements Microsoft 365 de ses clients. Ces accès avaient déjà des permissions légitimes, permettant aux attaquants de se faire passer pour des applications de confiance plutôt que pour de nouveaux utilisateurs suspects.
Microsoft indique que plus de 2 250 environnements ont été attaqués, avec des pics dépassant 2 900 tentatives de connexion par minute. Dans plusieurs organisations, les attaquants ont eu accès à Microsoft Graph, modifié des identifiants d’application ou tenté d’obtenir des privilèges supplémentaires pour maintenir un accès persistant.
ARTEX transforme l’attaque en opération industrielle
Ce rythme a été rendu possible grâce à ARTEX, un cadre d’agents d’IA initialement conçu pour tester la sécurité informatique. Cet outil avait déjà été impliqué dans des cyberattaques contre des banques sud-coréennes, obligeant son développeur à abandonner son modèle open source.
Ce cas illustre une évolution déjà observée lors des attaques menées par des agents d’IA autonomes : l’intelligence artificielle permet de tester simultanément de nombreux chemins d’intrusion et réduit considérablement le temps dont disposent les défenseurs. Les agents étaient également au centre d’un incident contre Hugging Face.
ConnectWise a suspendu son service Cloud Backup et révoqué les identifiants compromis. La société assure que les fichiers de sauvegarde restent chiffrés et qu’il n’y a aucune preuve qu’ils aient été compromis. Cependant, cet incident montre qu’une attaque par la chaîne d’approvisionnement combinée à des agents d’IA peut désormais transformer quelques identifiants volés en une massive campagne de piratage en quelques minutes seulement.
