Exploitation de l'intelligence artificielle dans les cyberattaques
Microsoft a rapporté que le groupe de menace chinois connu sous le nom de Storm-0940, actif depuis 2021, a commencé à utiliser le framework de test d'intrusion open source Artex pour automatiser des campagnes d'attaque ciblant des centaines d'organisations. Ce virage vers l'automatisation assistée par l'IA a permis aux attaquants d'effectuer des opérations de reconnaissance et des attaques par pulvérisation de mots de passe (Password Spraying) à des vitesses fulgurantes.
Détails de l'attaque contre ConnectWise
À la mi-octobre 2026, le groupe a ciblé les environnements de travail des clients de la société ConnectWise, ce qui a poussé l'entreprise à suspendre des services critiques tels que la sauvegarde cloud et la sécurité des logiciels en tant que service (SaaS). Selon les observations techniques, les attaquants ont utilisé des identifiants compromis pour accéder à des centaines de locataires Microsoft 365 et Entra.
Les données indiquent que les attaquants ont réussi à effectuer plus de 2 900 tentatives de connexion par minute, avec plus de 151 000 tentatives infructueuses enregistrées, suivies d'authentifications réussies exploitant les identités des applications cloud de ConnectWise.
Qu'est-ce qui change concrètement ?
Le danger réside dans le fait que les agents d'IA ne se sont pas limités au processus d'authentification, mais sont passés à l'exécution d'opérations avancées au sein des environnements des victimes, notamment :
- La réalisation d'opérations de reconnaissance au sein de Microsoft Graph.
- La modification des identifiants d'applications pour garantir la persistance de l'accès même après la correction des vulnérabilités initiales.
- L'apport de modifications aux identités, aux groupes et aux rôles à privilèges élevés.
Recommandations de sécurité pour les organisations
Microsoft avertit les organisations de la nécessité d'examiner minutieusement les connexions des principaux de service (Service Principals) et de les corréler avec les activités ultérieures au sein de Microsoft Graph et les changements dans l'Active Directory. Les équipes de sécurité doivent distinguer les activités administratives autorisées des activités suspectes qui pourraient indiquer l'exploitation d'outils automatisés tels qu'Artex.
Ces attaques confirment une tendance croissante chez les groupes de menace persistante avancée (APT) à utiliser des outils d'IA pour réduire l'écart temporel entre la découverte d'une vulnérabilité et l'exécution de l'intrusion, ce qui exerce une pression supplémentaire sur les équipes de réponse aux incidents.