Des hackers chinois ont visé des milliers d’entreprises via ConnectWise, avec l’aide d’agents IA
La semaine était déjà difficile pour la cybersécurité. Elle vient de s’alourdir avec une nouvelle attaque de la chaîne d’approvisionnement : des hackers liés à l’État chinois ont piraté ConnectWise, un géant des outils de gestion informatique, pour atteindre ses clients.
Ce qui s’est passé
Selon Microsoft, le groupe Storm-0940, un acteur aligné sur l’État chinois actif depuis 2021, s’est introduit dans le service de sauvegarde cloud de ConnectWise (Cloud Backup, anciennement SkyKick).
Ce service se connecte aux environnements Microsoft 365 de ses clients pour sauvegarder leurs données. Pour cela, il utilise des identifiants d’application qui lui donnent un accès de confiance. Les hackers ont volé ces identifiants.
Résultat : ils pouvaient se connecter chez les clients comme s’ils étaient l’application ConnectWise elle-même, sans avoir besoin du mot de passe d’un utilisateur. Une fois à l’intérieur, ils pouvaient accéder aux emails, aux fichiers et à l’annuaire de l’entreprise.
Une attaque à la vitesse de l’IA
Ce qui inquiète le plus les chercheurs, c’est la vitesse. Les hackers ont utilisé ARTEX, un outil open source de test d’intrusion qui fonctionne avec des agents IA. Ces agents travaillent jour et nuit et mènent plusieurs attaques en parallèle, presque sans intervention humaine.
Après le vol des identifiants, les agents ont tenté de se connecter à plus de 2 250 environnements clients. Dans certains cas, il a fallu moins de 3 heures entre le premier ciblage et l’obtention d’un accès privilégié.
Quelques jours avant, le même groupe avait mené une campagne massive de password spraying (essais de mots de passe en masse) : plus de 151 000 tentatives échouées, avec un pic à environ 2 900 par minute.
Microsoft résume le problème : les attaques génèrent bien des alertes, mais elles vont si vite que les défenseurs n’ont presque pas le temps de réagir.
Dans plusieurs environnements, les agents sont allés plus loin : reconnaissance, ajout de nouveaux identifiants pour garder un accès permanent (porte dérobée), modification de rôles d’administration, et même lecture de secrets dans des coffres Azure Key Vault.
Un outil déjà vu en Corée du Sud
ARTEX n’en est pas à son premier usage malveillant. Il a déjà servi dans des attaques récentes contre des institutions financières sud-coréennes, dont beaucoup avaient une sécurité faible et pas de double authentification.
Les secteurs visés par Storm-0940 sont très variés : défense, énergie, finance, gouvernement, juridique, industrie, technologie, médias, ONG…
La réaction de ConnectWise
ConnectWise a suspendu l’accès à son service de sauvegarde cloud et enquête sur l’incident. L’entreprise indique travailler à la remise en service.
Microsoft précise de son côté que l’attaque ne vient pas d’une faille dans ses propres produits. Et qu’une connexion réussie de l’attaquant ne signifie pas forcément que des données ont été volées.
Que faire si vous utilisez ConnectWise Cloud Backup ?
- Laissez l’application désactivée jusqu’aux instructions officielles de ConnectWise.
- Ne supprimez pas l’application tout de suite : conservez d’abord les journaux et preuves pour l’enquête.
- Vérifiez les connexions de l’application (service principal) dans Microsoft Entra depuis au moins le 15 octobre, idéalement depuis le 1er octobre.
- Cherchez les changements suspects : nouveaux identifiants ajoutés à des applications, nouveaux rôles d’administrateur, règles de transfert d’emails, accès inhabituels aux boîtes mail ou à SharePoint.
- Supprimez tout accès non autorisé et changez les identifiants concernés.
Indicateurs de compromission (IOC)
Adresses IP :
144.172.64[.]99144.172.64[.]128144.172.64[.]60187.15.88[.]186,187.15.90[.]217,187.15.89[.]186(IP VPN, pertinentes pour les 15 et 16 octobre)
User agents observés : Python-urllib/3.12, python-requests/2.31.0, python-requests/2.34.2, curl/7.88.1, azure-toolkit/1.0
Identifiants d’applications ConnectWise à vérifier :
506e08f9-6e9a-4da4-942b-a099a03644ae(ConnectWise Cloud Backup)24205314-2b89-4e07-a2a4-579e898a5640(ConnectWise – MS Teams)0de14c77-b9b0-4137-9360-34878a929827(ConnectWise – MS Graph)
Notre avis
Cette attaque illustre un risque souvent sous-estimé : vos prestataires ont les clés de votre maison. Une application tierce avec de larges permissions sur votre Microsoft 365 est une porte d’entrée idéale. Si elle est compromise, l’attaquant entre par la grande porte, sans déclencher les protections classiques comme la double authentification.
Ajoutez à cela des agents IA capables d’attaquer des milliers d’organisations en quelques heures, et le temps de réaction devient le facteur décisif. Trois réflexes à adopter dès maintenant :
- Faites l’inventaire des applications tierces connectées à votre Microsoft 365 ou Google Workspace.
- Appliquez le moindre privilège : chaque application ne doit avoir que les droits strictement nécessaires.
- Surveillez les connexions d’applications, pas seulement celles des utilisateurs.
Commentaires