Microsoft relie la compromission ConnectWise à Storm-0940, qui automatise ses attaques avec l’IA agentique ARTEX

21 octobre 2026. Microsoft attribue la compromission de ConnectWise Cloud Backup à Storm-0940, un acteur aligné sur la Chine actif depuis 2021. Dès septembre 2026. Ce même acteur utilisait ARTEX, un framework d’IA agentique de test d’intrusion, pour automatiser des attaques contre des centaines d’organisations. Entre le 10 et le 14 octobre 2026. Une campagne de password spraying génère 151 000 échecs d’authentification, à un rythme de 2 900 tentatives par minute. Pourquoi c’est important : l’IA offensive est sortie du laboratoire — dans plusieurs cas, le temps entre le ciblage initial et l’obtention d’un accès privilégié est tombé sous les trois heures.

L’attribution : ce que Microsoft affirme, ce qu’il ne dit pas

Le rapport ne laisse pas de place au doute. Microsoft Threat Intelligence écrit que Storm-0940 « a utilisé le framework agentique de test d’intrusion ARTEX pour automatiser des attaques ciblant des centaines d’organisations à travers le monde ». La liste des secteurs visés est large : aérospatial et défense, automobile, chimie, énergie, services financiers, gouvernement, juridique, industrie, médias, militaire, semi-conducteurs, logiciels et groupes de réflexion.

L’acteur n’a pas d’alias connu dans l’industrie. Il opère depuis 2021, essentiellement pour du vol de données. Son accès initial historique passe par le password spraying et l’exploitation d’applications exposées sur Internet, puis par le déplacement latéral via des comptes compromis. Dans les environnements cloud, il établit sa persistance en ajoutant des identifiants à des applications OAuth existantes — exactement le schéma qu’on retrouve ici. Ce que Microsoft ne précise pas, c’est le nombre exact d’organisations où l’accès privilégié a été obtenu : il reconnaît seulement que la majorité des tentatives ont échoué, mais que l’acteur a « obtenu une persistance cloud privilégiée dans de nombreuses organisations en peu de temps ».

ARTEX, le framework qui transforme un pentest en chaîne d’assemblage

ARTEX mérite qu’on s’y arrête, car il n’est pas un outil de plus. C’est un framework de test d’intrusion open source, multi-agents, écrit en Go avec une interface Next.js, capable d’utiliser n’importe quel modèle d’IA pour automatiser un flux offensif complet. Des agents pilotés par des LLM enchaînent la reconnaissance, l’exploitation et l’exfiltration avec très peu d’intervention humaine, et accumulent les actifs et vulnérabilités découverts dans un graphe au fil de la mission. L’interface est en anglais par défaut, mais bascule en coréen, mandarin, espagnol ou japonais.

Le signal le plus inquiétant est ailleurs. En octobre 2026, des signalements publics reliaient déjà ARTEX à des violations de données personnelles visant des institutions financières coréennes. Microsoft affirme avoir identifié des acteurs malveillants de plusieurs régions géographiques qui exploitent ce même framework. Un outil offensif qui circule entre plusieurs groupes, et qu’un acteur étatique industrialise, change la nature du problème : on ne se défend plus contre un attaquant, mais contre une capacité partagée.

La vitesse comme arme

Les chiffres de la campagne de password spraying sont la partie la plus concrète du rapport. Entre le 10 et le 14 octobre, une infrastructure Storm-0940 située à l’adresse 144.172.64[.]99 a ciblé 327 comptes dans huit organisations pour accéder à Microsoft 365 et Exchange Online. La télémétrie Microsoft a capté 151 000 événements d’échec de connexion, avec un pic à 2 900 échecs par minute le 11 octobre et plus de 111 000 échecs concentrés sur une seule journée. 48 comptes ont subi plus de 1 000 échecs chacun, et les réponses de verrouillage ont représenté près de 98 % de l’activité. Aucune authentification réussie n’a été observée à ce stade.

L’étape suivante a été plus efficace. Après avoir pris le contrôle des identités de plusieurs applications cloud ConnectWise, les agents ARTEX ont tenté de se connecter à plus de 2 250 locataires, à un rythme de 2 900 connexions par minute, dont plus de 200 connexions en moins de quatre minutes à l’aide de quatre identifiants d’application. Dans plusieurs environnements, l’activité est allée au-delà de l’authentification : reconnaissance via Microsoft Graph, modification d’identifiants d’application pour établir une persistance, et changements portant sur des identités, des groupes et des rôles privilégiés. C’est le point décisif — l’attaquant n’a pas besoin d’une faille : il abuse des permissions qu’une application légitime avait déjà reçues.

Ce que ça change pour la défense

La leçon stratégique est que la vitesse de l’IA compresse la fenêtre de réponse. Microsoft le formule lui-même : l’automatisation génère un volume de trafic qui déclenche des alertes, mais « la vitesse de l’activité laisse très peu de temps aux défenseurs pour y répondre et remédier à l’accès de l’acteur de façon coordonnée ». Un agent ne s’arrête pas le week-end, ne dort pas, et mène plusieurs chemins d’attaque en parallèle. Le résultat se mesure en heures, pas en jours.

Le correctif n’est pas un patch — Microsoft insiste sur le fait que l’activité « ne résulte pas d’une compromission ni d’une vulnérabilité des systèmes, produits ou services Microsoft ». C’est un problème de gouvernance des permissions : une application multi-locataire à privilèges élevés est devenue le pivot de l’attaque. Les défenses recommandées suivent logiquement : appliquer le moindre privilège aux permissions des applications multi-locataires, surveiller les ajouts d’identifiants et les changements de rôles, et examiner séparément les connexions de service principal réussies et échouées.

Ce qu’il faut chercher dans les journaux

Le rapport Microsoft donne aussi des indicateurs concrets, et c’est ce qui rend l’épisode actionnable. Les adresses 144.172.64[.]99, 144.172.64[.]128 et 144.172.64[.]60 ont été vues en train d’effectuer des connexions et de l’activité Graph API dans les environnements clients des applications ConnectWise. Les user agents associés — Python-urllib/3.12, python-requests et curl/7.88.1 — sont autant de signatures à chercher dans vos journaux d’authentification.

La bonne pratique consiste à examiner séparément les connexions de service principal réussies et échouées, puis à corréler l’activité Graph qui suit avec vos opérations administratives connues. Dans Sentinel, une requête de chasse simple sur la table des connexions de service principal suffit à écarter le pire :

// Connexions de service principal depuis l’infrastructure Storm-0940
AADServicePrincipalSignInLogs
| where TimeGenerated between (datetime(2026-10-10) .. datetime(2026-10-16))
| where IPAddress in ("144.172.64.99", "144.172.64.128", "144.172.64.60")
| project TimeGenerated, ServicePrincipalName, AppId, IPAddress, ResultType

Au-delà des IP, le signal le plus fiable reste le comportement : un service principal qui s’attribue un rôle Global Administrator alors qu’il ne l’avait jamais fait les sept jours précédents est une alerte à traiter en priorité, quel que soit le fournisseur compromis. C’est exactement la détection que Microsoft Defender XDR a activée sous le nom « Application self-assigned Global Administrator role ».

Verdict

Si vous avez accordé des permissions larges à une application tierce, traitez chaque connexion de service principal comme un signal d’alerte à part entière : c’est désormais la voie d’entrée préférée d’un acteur qui automatise à la vitesse de la machine. Réduisez les consent grants au strict nécessaire, révoquez les permissions inutilisées et corrélez les journaux Microsoft Graph avec vos opérations administratives. Si vous n’êtes pas concerné par ConnectWise, utilisez cet épisode comme test de votre propre surface d’identité applicative — un fournisseur compromis ne devrait jamais pouvoir vous offrir plus que ce que vous lui avez explicitement accordé.

Références

• Microsoft Threat Intelligence — Storm-0940 uses ARTEX agentic AI to enable supply chain compromise
• The Hacker News — China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack
• CyberScoop — Microsoft pins ConnectWise supply-chain attack to China-state aligned Storm-0940
• ETTAYEB — Une compromission du service principal ConnectWise Cloud Backup ouvre 173 locataires Microsoft 365