Contexte de la compromission

Des chercheurs en sécurité de Microsoft ont confirmé que des acteurs étatiques chinois ont pénétré le service de sauvegarde cloud de ConnectWise, fournisseur d’outils de gestion IT et d’accès à distance. Le vecteur d’intrusion était le service de backup, qui stocke les identifiants d’application permettant d’établir des liaisons de données entre ConnectWise et les environnements clients hébergés sur Microsoft Azure.

Mécanisme d’accès et vol de credentials

En accédant à la base de données de sauvegarde, les hackers ont extrait les credentials d’application. Ces identifiants sont reconnus par Azure comme des comptes autorisés, ce qui a permis aux attaquants de se connecter aux environnements Microsoft des clients comme s’ils étaient des utilisateurs légitimes. Une fois authentifiés, ils ont pu consulter les boîtes mail, télécharger des fichiers et explorer les partages de réseau, sans déclencher immédiatement les alertes de sécurité habituelles.

Utilisation d’agents IA pour l’attaque massive

Microsoft a quantifié l’opération à environ 2 250 organisations ciblées, avec près de 3 000 tentatives de connexion par minute. Cette cadence a été rendue possible par l’emploi d’agents d’intelligence artificielle basés sur le framework open source ARTEX, conçu pour « stress‑tester » les défenses cyber. ARTEX orchestre des modèles d’IA capables de générer et d’envoyer des requêtes d’authentification à grande vitesse, réduisant le temps disponible aux équipes de défense pour détecter et bloquer les tentatives. Le même outil a été réutilisé dans une compromission du système financier sud‑coréen, où l’absence de multi‑facteur d’authentification (MFA) a aggravé la situation.

Conséquences et mesures d’atténuation

ConnectWise a suspendu l’accès à son service de sauvegarde cloud et travaille à la restauration du service. L’incident souligne deux faiblesses majeures : la centralisation des credentials dans un service accessible depuis le cloud, et la dépendance de nombreux clients à des configurations d’authentification faibles. Les recommandations immédiates incluent la rotation forcée des credentials d’application, le déploiement du MFA sur toutes les connexions Azure, et la mise en place de limites de taux d’authentification pour contrer les attaques à haute vélocité. Les équipes de réponse doivent également surveiller les logs d’accès pour identifier les connexions inhabituelles provenant d’adresses IP non reconnues.