Des hackers chinois ciblent des centaines d’organisations via une faille ConnectWise exploitée par l’IA

Microsoft indique qu'un groupe de pirates liés à la Chine a déployé un outil de test de pénétration alimenté par l'IA pour compromettre ConnectWise dans le cadre d'une opération mondiale visant des centaines d'organisations. Le PDG de ConnectWise, Manny Rivelo, a également publié une déclaration indiquant que tous les indices pointent vers des pirates soutenus par la Chine pour l'attaque contre leur système Cloud Backup.

Après avoir initialement détecté l'attaque, ConnectWise a immédiatement suspendu l'accès à ses services Cloud Backup, SaaS Security et Cloud Management. Rivelo a depuis confirmé que la menace est maîtrisée et que les services sont remis en ligne progressivement, selon une approche hautement contrôlée.

Cependant, il a mis en garde : bien que ces mesures sécurisent ConnectWise, elles ne suppriment pas les portes dérobées présentes dans les réseaux individuels déjà compromis des clients, ce qui implique la nécessité de vérifications de sécurité distinctes.

Microsoft a identifié les responsables, qu'elle estime être à l'origine de l'attaque.

Microsoft estime Le responsable est Storm-0940, un groupe de cyberespionnage actif depuis 2021 qui cible agressivement les secteurs critiques, notamment la défense, l'aérospatiale, le gouvernement, l'énergie et les semi-conducteurs, ainsi que diverses entreprises et organisations à but non lucratif.

Selon les chercheurs de l'entreprise, le groupe de hackers a tenté d'accéder à plusieurs comptes via une campagne généralisée de test de mots de passe avant d'infiltrer le service Cloud Backup de ConnectWise.

Les chercheurs ont découvert que Storm-0940 a lancé une offensive de quatre jours précédant le 14 octobre, ciblant 327 comptes Microsoft 365 et Exchange Online au sein de huit entreprises. Pendant cette période, l'acteur malveillant aurait déchaîné une vague massive de force brute, enregistrant plus de 151 000 tentatives de connexion échouées, atteignant un pic de 2 900 par minute.

Le lendemain même, Storm-0940 s'est tourné vers ConnectWise, utilisant des outils d'IA agentic et la même infrastructure réseau pour compromettre les systèmes Microsoft 365 de plusieurs utilisateurs de ConnectWise Cloud Backup. 

Selon Microsoft, Storm-0940 a exécuté l'intégralité de l'opération en utilisant ARTEX, un framework de tests de pénétration open source. Il a affirmé que le framework ARTEX permet aux opérateurs d'intégrer n'importe quel modèle d'IA pour automatiser les tests de sécurité et peuvent être configurés pour gérer de manière autonome des tâches telles que la reconnaissance réseau et l'exfiltration de données.

À l'heure actuelle, Microsoft Threat Intelligence estime que davantage de pirates informatiques dans le monde se tournent vers ARTEX pour renforcer leurs opérations.

Microsoft indique que Storm-0940 a peut-être laissé des portes dérobées auxquelles il peut accéder

Selon les sources, la plupart des attaques du groupe ont échoué, mais Microsoft a mis en garde en précisant que Storm-0940 est néanmoins parvenu à verrouiller rapidement l'accès au niveau supérieur dans plusieurs entreprises capables de résister aux mesures standard de nettoyage de sécurité.

Les chercheurs de Microsoft ont constaté que, sur certains systèmes affectés, les agents IA du groupe de pirates sont allés au-delà du simple connexion ; ils ont activement manipulé Microsoft Graph pour explorer l'annuaire, altéré les identifiants d'application afin de maintenir l'accès, et modifié les identités et les rôles à haut niveau.

Ils ont également noté que plusieurs environnements clients présentaient des signes clairs d'activités ultérieures, illustrant comment une application tierce compromise disposant de permissions approfondies peut être exploitée pour atteindre des zones auxquelles elle n'était pas censée avoir accès. 

Plus tôt dans l’enquête, selon Huntress, les auteurs ont obtenu un accès aux locataires de Microsoft 365 en profitant d’un seul identifiant volé via ConnectWise Cloud Backup. À ce stade, la société de cybersécurité a confirmé que des pirates avaient compromis avec succès 162 clients.

Dans son explication de la manière dont la société de cybersécurité a mené l’enquête sur la violation, Jon Semon, analyste principal des opérations de sécurité chez Huntress, a déclaré : « Un partenaire Huntress nous a signalé une activité suspecte dans l’application ConnectWise. Nous avons commencé à enquêter, et cela est rapidement devenu un effort de réponse rapide impliquant de nombreuses équipes Huntress. »

Parallèlement, Todyl, une plateforme de sécurité utilisée par les fournisseurs de services gérés (MSP), a signalé que l’attaque visait également ses systèmes. Selon l’entreprise, l’acteur malveillant a pu se connecter au locataire Microsoft 365 à l’aide d’identifiants valides.

Bien que cela puisse sembler être un incident isolé, ce n’est certainement pas le cas. Igor Tsyganskiy, vice-président exécutif chez Microsoft, a affirmé qu’en plus de cet incident récent, il y a eu beaucoup d’autres cyberattaques alimentées par l’IA. « Nous venons de rendre publics les détails de l’une des nombreuses attaques », a-t-il a noté.

Les organisations qui utilisent ConnectWise Cloud Backup devraient examiner leurs environnements Microsoft 365 à la recherche de connexions suspectes, d'autorisations d'application non autorisées et de modifications inattendues des comptes administrateur.

Les équipes de sécurité doivent également passer en revue les sessions actives, faire tourner les identifiants potentiellement compromis, révoquer les jetons suspects et supprimer les privilèges d'accès non autorisés.

Puisque la restauration du service affecté n'élimine pas automatiquement les mécanismes de persistance au sein des réseaux des clients, les organisations peuvent devoir mener des enquêtes indépendantes pour déterminer si les attaquants ont conservé l'accès après que ConnectWise ait contenu la violation initiale.