Microsoft estime que Storm-0940, un acteur aligné sur l’État chinois, était responsable de la compromission d’une application ConnectWise utilisée par plusieurs organisations. L’acteur a tenté de s’authentifier auprès de plus de 2 250 tenants Microsoft 365. Ce chiffre compte les environnements visés, pas les compromissions confirmées : la plupart des tentatives ont échoué, même si Microsoft a observé une activité ultérieure dans plusieurs environnements clients.
Deux opérations distinctes
Le pic de 2 900 échecs de connexion par minute concernait une campagne de password spraying distincte, et non l’opération menée au moyen des identités d’applications ConnectWise. Le password spraying consiste à essayer des mots de passe sur de nombreux comptes. Microsoft a décrit les deux opérations ainsi :
| Opération | Méthode | Portée et résultats rapportés par Microsoft |
| Abus des identités ConnectWise | Authentification auprès des environnements clients au moyen d’applications ConnectWise déjà autorisées | Tentatives visant plus de 2 250 tenants ; la plupart des tentatives de ciblage ont échoué. Une activité ultérieure a été observée dans plusieurs environnements. |
| Password spraying | Essais répétés de mots de passe sur des comptes Microsoft 365 et Exchange Online | Du 10 au 14 octobre 2026, 327 comptes répartis dans huit organisations ont été visés. Microsoft a relevé plus de 151 000 échecs, avec un pic de 2 900 par minute le 11 octobre, et n’a observé aucune authentification réussie, émission de jeton, requête Graph ni modification de l’annuaire. |
La campagne distincte de password spraying s’est déroulée du 10 au 14 octobre 2026. Microsoft a comptabilisé plus de 111 000 échecs sur une seule journée ; 48 comptes ont subi plus de 1 000 échecs chacun. Les réponses de verrouillage de compte représentaient près de 98 % de l’activité. Aucun des résultats positifs mentionnés dans le tableau n’a été observé pour cette opération.
Comment ARTEX a facilité l’abus des accès existants
Microsoft décrit ARTEX comme un framework open source de tests d’intrusion fondé sur un système multi-agent utilisant un grand modèle de langage. Il peut automatiser des opérations offensives, de la reconnaissance jusqu’à l’exfiltration, avec peu d’intervention humaine. Dans cette campagne, les agents ont automatisé notamment la reconnaissance, l’analyse de cibles, le password spraying et l’abus d’applications OAuth.
Les applications ConnectWise compromises disposaient déjà d’autorisations pour accéder aux environnements clients. Storm-0940 a exploité ces accès pour tenter de se connecter sans qu’un utilisateur ait besoin d’ouvrir une session. Dans plusieurs environnements, Microsoft a observé de la reconnaissance via Microsoft Graph, des modifications d’identifiants d’applications et des tentatives de changement touchant des identités, des groupes ou des rôles privilégiés.
Certaines attaques pilotées par ARTEX ont obtenu un accès privilégié à des infrastructures cloud. Dans plusieurs cas, cet accès a été atteint en moins de trois heures après le ciblage initial. Microsoft ne dit pas que les plus de 2 250 tenants visés ont tous connu cette activité ultérieure.
Les services ConnectWise et les archives de sauvegarde
ConnectWise a suspendu Cloud Backup, SaaS Security et Cloud Management, puis a indiqué avoir réinitialisé les comptes et identifiants de l’environnement Cloud Backup concerné. Dans son point du 23 octobre 2026 UTC, l’entreprise décrivait une restauration progressive soumise à des tests et à une validation de sécurité. Elle prévoyait de rétablir d’abord l’accès à la restauration des sauvegardes existantes, puis de réinscrire les services par étapes.
ConnectWise a indiqué que les archives de sauvegarde existantes restaient chiffrées, isolées et préservées, sans indice d’accès. Cette déclaration concerne les archives stockées. ConnectWise a aussi précisé que son enquête sur Cloud Backup ne lui permettait pas de déterminer si un tenant Microsoft 365 actif d’un client avait subi une activité non autorisée.
Les vérifications recommandées aux administrateurs
Microsoft recommande d’examiner les journaux de connexion des principaux de service, c’est-à-dire des identités utilisées par les applications pour accéder aux services cloud. Il conseille également de vérifier l’activité Microsoft Graph et les changements ultérieurs dans l’annuaire, en particulier les nouveaux identifiants d’application, les attributions de rôles privilégiés et les accès aux ressources. Les journaux et autres éléments utiles à l’enquête doivent être préservés.
ConnectWise a demandé aux partenaires de laisser désactivées les connexions d’applications concernées jusqu’à la réception d’instructions formelles de réactivation. Les recommandations techniques de Microsoft figurent dans son analyse de la campagne Storm-0940, tandis que les mises à jour sur les services et les archives sont publiées dans le journal d’incident de ConnectWise.
