En bref
- Dès septembre 2026, Storm-0940 a utilisé ARTEX contre des centaines d’organisations, avec plusieurs accès privilégiés obtenus en moins de trois heures.
- La compromission d’applications ConnectWise a permis des authentifications sans connexion interactive d’un utilisateur, en réutilisant une confiance déjà accordée.
- Microsoft distingue la présence d’une application touchée, une authentification réussie et un accès effectif aux données, qui ne sont pas équivalents.
- L’étude montre surtout une accélération de techniques existantes, plutôt que l’apparition d’une méthode d’intrusion entièrement nouvelle.
Une campagne mondiale fortement accélérée
Microsoft affirme que Storm-0940 utilise ARTEX depuis au moins septembre 2026 pour automatiser des attaques contre des centaines d’organisations dans le monde. Ce groupe, considéré par Microsoft comme aligné sur l’État chinois, est actif depuis 2021 et recherche notamment des données. Plusieurs opérations assistées par ARTEX ont obtenu un accès privilégié au cloud en moins de trois heures. Un tel accès donne des droits étendus sur les ressources informatiques hébergées à distance.
Les cibles appartenaient à des secteurs très variés, notamment la défense, l’énergie, la finance, les administrations, les médias, les logiciels et les associations. La majorité des tentatives n’a pas abouti, selon Microsoft. Le groupe a néanmoins installé rapidement un accès cloud durable dans de nombreuses organisations. Historiquement, il utilisait la pulvérisation de mots de passe et l’exploitation d’applications accessibles depuis Internet pour obtenir un premier accès. Cette vitesse réduit le délai disponible pour comprendre une alerte, coordonner la réponse et retirer les accès malveillants.
ConnectWise, point de bascule de la campagne
Le 16 octobre 2026, ConnectWise a signalé un accès non autorisé aux espaces cloud de ses clients par plusieurs identités d’applications OAuth. OAuth est un mécanisme qui autorise une application à accéder à un service sans connaître le mot de passe de l’utilisateur. Microsoft estime que Storm-0940 était responsable de cette compromission. Il s’agissait d’une attaque de la chaîne d’approvisionnement, qui passe par un fournisseur partagé pour atteindre ses clients. Des signalements publics avaient commencé à circuler la veille, avec des indices correspondant à une infrastructure déjà observée par Microsoft.
Après avoir pris le contrôle de plusieurs identités d’applications ConnectWise, le groupe a utilisé leurs identifiants volés pour entrer dans les environnements clients. Ces applications disposaient déjà d’autorisations, donc aucune connexion interactive d’un utilisateur n’était nécessaire. ARTEX a servi à atteindre plus de 2 250 espaces clients, avec un rythme de 2 900 tentatives de connexion par minute. La confiance accordée au logiciel tiers est ainsi devenue un moyen d’accès à grande échelle.
Des journaux techniques qui retracent deux séquences
La méthode présentée par Microsoft repose sur sa télémétrie, c’est-à-dire les événements techniques remontés par ses services, puis sur leur rapprochement chronologique. Les chercheurs ont comparé les connexions, les opérations dans les annuaires cloud et les appels à Microsoft Graph. Cette interface permet à une application de consulter ou modifier des ressources Microsoft 365 selon ses autorisations. Ils ont aussi relié l’infrastructure observée aux indicateurs publiés par ConnectWise.
Du 10 au 14 octobre, une adresse réseau liée au groupe a ciblé 327 comptes dans huit organisations par pulvérisation de mots de passe. Cette technique essaie quelques mots de passe courants sur de nombreux comptes, afin de limiter les blocages immédiats. Microsoft a enregistré plus de 151 000 échecs, dont plus de 111 000 durant une seule journée. Pourtant, aucune connexion réussie, émission de jeton, requête Graph ou modification d’annuaire n’a été observée pendant cette séquence.
ARTEX industrialise des techniques déjà connues
ARTEX est un outil libre de test d’intrusion capable d’utiliser différents modèles d’intelligence artificielle, ou IA, pour automatiser des opérations offensives. Il coordonne plusieurs agents guidés par de grands modèles de langage, des systèmes qui produisent des réponses à partir de vastes ensembles de textes. Ces agents peuvent conduire une opération depuis la reconnaissance jusqu’à l’exfiltration de données avec peu d’intervention humaine. Ils organisent aussi les actifs et les faiblesses découverts dans une représentation reliée.
Dans cette campagne, ARTEX a accéléré l’analyse des cibles, la reconnaissance, les essais de mots de passe et l’abus d’applications OAuth. L’interprétation de Microsoft est donc celle d’une mise à l’échelle de méthodes existantes. Des agents peuvent explorer plusieurs chemins simultanément et poursuivre leur activité sans les contraintes horaires d’une équipe humaine. Le volume produit davantage de traces susceptibles de déclencher des alertes, mais leur cadence laisse peu de temps aux défenseurs.
Des accès persistants, mais un impact encore incomplet
Dans plusieurs environnements, Microsoft a observé des opérations ultérieures par Microsoft Graph, dont de la reconnaissance et des changements d’identifiants d’applications. Le groupe a aussi tenté de modifier des privilèges pour étendre ou maintenir son accès. Certaines opérations concernaient des identités, des groupes et des rôles puissants. Modifier les identifiants d’une application peut conserver une porte d’entrée après le traitement de l’application initialement compromise.
Les limites restent importantes. Une application affectée ou une authentification réussie ne prouve pas que des données ont été consultées ou sorties, et Microsoft ne chiffre pas ces deux résultats. Le rapport ne donne pas non plus le nombre exact d’organisations où chaque opération ultérieure a réussi. Enfin, Microsoft précise que l’activité ne provenait ni d’une compromission ni d’une vulnérabilité de ses propres produits, services ou systèmes. L’attribution à Storm-0940 demeure une évaluation de Microsoft.
Ce qui reste à confirmer
Microsoft ne précise ni le nombre exact d’organisations où les opérations ultérieures ont réussi, ni si des données ont été consultées ou exfiltrées dans chaque environnement. L’attribution à Storm-0940 est son évaluation, et une application présente ou une authentification réussie ne suffit pas à démontrer une compromission complète.