Le 21 octobre 2026, Microsoft a estimé que Storm-0940 était responsable de la compromission de l’application mutualisée de ConnectWise Cloud Backup. L’entreprise a également indiqué que le groupe avait utilisé ARTEX pour accélérer ses opérations contre des environnements Microsoft 365. Les chiffres de tentatives d’accès rapportés par Microsoft ne correspondent pas à un décompte de clients compromis.
L’attribution de Microsoft et le rôle d’ARTEX
Microsoft a attribué l’attaque à Storm-0940, un groupe qu’elle estime lié à l’État chinois. Selon son analyse publiée le 21 octobre 2026, le groupe utilisait ARTEX dès septembre 2026. Ce cadre open source s’appuie sur des agents pilotés par de grands modèles de langage pour automatiser des tâches de tests d’intrusion. Microsoft dit que Storm-0940 l’a utilisé pour accélérer la reconnaissance, l’analyse de systèmes, les tentatives de pulvérisation de mots de passe et l’abus d’applications OAuth.
L’attaque visait l’application mutualisée de ConnectWise Cloud Backup, dont les connexions permettaient une authentification par application dans les environnements Microsoft 365 des clients. Une telle identité applicative utilise ses propres identifiants et autorisations, plutôt que le mot de passe d’un utilisateur. Huntress a indiqué que l’identifiant compromis était une assertion client conservée dans l’environnement du fournisseur.
Deux campagnes et deux voies d’accès
Microsoft a décrit une campagne distincte de pulvérisation de mots de passe contre des comptes utilisateurs, puis une campagne liée aux identifiants d’applications ConnectWise. La première n’a produit aucun signe de connexion réussie dans les observations de Microsoft ; la seconde a entraîné des tentatives d’accès à des environnements clients.
| Campagne | Identité visée ou utilisée | Activité rapportée |
| Pulvérisation de mots de passe, du 10 au 14 octobre 2026 | Comptes utilisateurs dans huit organisations | Plus de 151 000 échecs de connexion visant 327 comptes. Microsoft n’a observé aucune authentification réussie, émission de jeton, requête à Microsoft Graph ni modification d’annuaire dans cette campagne. |
| Campagne liée à ConnectWise | Identifiants d’applications ConnectWise | Tentatives de connexion auprès de plus de 2 250 environnements clients, à un rythme rapporté de 2 900 tentatives par minute. |
Les deux mesures décrivent des opérations différentes. Les plus de 2 250 environnements représentent la portée des tentatives rapportées par Microsoft, pas un total de comptes ou de clients compromis.
Activité observée après l’authentification
Microsoft a rapporté des opérations de reconnaissance dans Microsoft Graph ainsi que des changements d’identifiants d’applications et des tentatives de modification de privilèges dans plusieurs environnements clients. Huntress a décrit un cas particulier où l’application ConnectWise Cloud Management - MS Teams s’est attribué le rôle d’administrateur général dans un environnement, puis a ajouté des identifiants à deux autres applications. Ces observations ne signifient pas que les mêmes actions se sont produites dans chaque environnement.
Une authentification réussie ne suffit pas à établir que des données Microsoft 365 ont été consultées ou exfiltrées. Microsoft n’a pas communiqué de décompte des environnements où des données auraient été consultées ou volées.
Réponse de ConnectWise et contrôles à examiner
ConnectWise a indiqué avoir découvert un accès non autorisé à des identités d’applications le 14 octobre 2026. L’entreprise a suspendu Cloud Backup, révoqué les certificats utilisés par les connexions concernées et invalidé les identifiants partagés du service. Elle a également déclaré que les archives de sauvegarde stockées restaient chiffrées et isolées, sans indice d’accès à ces archives.
Pour examiner un environnement Microsoft 365, Microsoft recommande de contrôler les connexions des principaux de service, les activités dans Microsoft Graph, les changements d’identifiants d’applications, les attributions de rôles privilégiés, les consentements et les modifications d’annuaire. Huntress conseille aussi d’examiner les applications ConnectWise et SkyKick, y compris les intégrations inactives, ainsi que les identifiants ajoutés à d’autres applications. L’entreprise recommande de désactiver les connexions concernées plutôt que de les supprimer, et de ne pas réactiver les applications ConnectWise touchées avant que ConnectWise confirme la réinitialisation des identifiants.
