Des recherches en sécurité récentes ont révélé que le groupe de cybermenaces lié à la Chine, connu sous le nom de Storm-0940, a utilisé le framework de test d'intrusion basé sur l'IA agentique appelé ARTEX pour mener des attaques à grande échelle ciblant des centaines d'organisations à travers le monde dans divers secteurs industriels. Dans plusieurs cas, ces attaques automatisées ont permis à l'attaquant d'obtenir des privilèges d'accès à l'infrastructure cloud des victimes, la durée entre la phase de ciblage initial et l'obtention des accès privilégiés ne dépassant pas trois heures dans certains cas.
Les données techniques ont montré que l'activité malveillante était directement liée à l'incident de compromission de la chaîne d'approvisionnement des applications multi-locataires de ConnectWise, qui a été annoncé récemment. Ces développements montrent comment les groupes de menace commencent à intégrer des systèmes d'IA agentique dans les cycles de travail de sécurité offensive traditionnels pour multiplier leurs opérations de manière significative, dépassant les limites humaines grâce à un fonctionnement continu 24h/24 et à la tentative de compromettre plusieurs vecteurs simultanément.
Mécanisme d'attaque et rapidité d'exécution via le framework ARTEX
Le framework ARTEX est un système multi-agents basé sur des grands modèles de langage, écrit en langage Go avec une interface utilisateur basée sur Next.js. Il peut exécuter un test d'intrusion entièrement autonome, de la phase de reconnaissance jusqu'à l'exfiltration de données, sans intervention humaine notable. Lors de l'incident ConnectWise, le groupe Storm-0940 a exploité ce framework pour accélérer les opérations de scan et de reconnaissance, le password spraying et l'énumération d'applications via l'API OAuth.
- Attaques de password spraying : L'infrastructure des attaquants a mené une campagne automatisée ciblant 327 comptes dans 8 organisations pour accéder à Microsoft 365 et Exchange Online, enregistrant des milliers de tentatives d'authentification infructueuses avec des taux records atteignant 2 900 échecs par minute.
- Exploitation des identifiants d'applications : Après avoir pris le contrôle de plusieurs identités d'applications cloud appartenant à ConnectWise, les agents d'IA ont utilisé la même plage d'adresses IP pour s'authentifier sur les environnements des clients sans nécessiter d'interaction humaine.
- Activités ultérieures : Cela comprenait des opérations de reconnaissance via Microsoft Graph et des modifications des identifiants d'applications pour assurer la persistance, ainsi que la modification des rôles et des privilèges.
Qu'est-ce qui change concrètement pour les organisations ?
Ces attaques représentent un changement qualitatif dans la vitesse et l'ampleur des cybermenaces ; le recours à des agents automatisés réduit radicalement le temps dont disposent les défenseurs pour détecter, répondre et contrer l'attaque par rapport aux méthodes manuelles traditionnelles. Bien que la simple présence de l'application affectée ou la survenue d'une authentification ne signifie pas nécessairement une fuite de données clients, les modifications des identifiants de service peuvent laisser des portes dérobées actives même après la remédiation de l'application d'origine.
Directives d'atténuation et protection technique
Les autorités de sécurité ont recommandé de prendre des mesures immédiates pour contenir les risques et sécuriser les infrastructures touchées via les actions suivantes :
- Maintenir les connexions des applications ConnectWise affectées désactivées jusqu'à la publication de directives officielles de restauration par le fournisseur.
- S'abstenir de supprimer les applications d'entreprise comme réponse initiale, et se concentrer sur la conservation des journaux de configuration et des preuves forensiques.
- Examiner les identités des administrateurs de service et les quatre identifiants d'applications liés à l'incident dans chaque locataire Microsoft 365.
- Inspecter les journaux d'audit Microsoft Entra et les journaux Microsoft Purview à la recherche de tout ajout inhabituel d'identifiants ou de privilèges de rôles élevés.