{"id":206227,"date":"2026-10-22T11:12:00","date_gmt":"2026-10-22T10:12:00","guid":{"rendered":"https:\/\/cms-articles.softonic.io\/fr\/?p=206227"},"modified":"2026-10-22T11:12:19","modified_gmt":"2026-10-22T10:12:19","slug":"connectwise-attaque-microsoft-pointe-storm-0940-et-le-framework-artex","status":"publish","type":"post","link":"https:\/\/cms-articles.softonic.io\/fr\/connectwise-attaque-microsoft-pointe-storm-0940-et-le-framework-artex\/","title":{"rendered":"ConnectWise attaqu\u00e9 : Microsoft pointe Storm-0940 et le framework ARTEX"},"content":{"rendered":"

Microsoft attribue d\u00e9sormais la compromission de l\u2019application ConnectWise Cloud Backup, d\u00e9velopp\u00e9e par ConnectWise, \u00e0 Storm-0940<\/strong>, un acteur li\u00e9 \u00e0 la Chine et actif au moins depuis 2021. L\u2019\u00e9diteur estime que cette campagne a touch\u00e9 des centaines d\u2019organisations.<\/p>\n

\r\n
\r\n
\r\n
\r\n \"Malwarebytes\r\n <\/div>\r\n
\r\n Malwarebytes Anti-Malware<\/span>\r\n T\u00e9l\u00e9charger<\/a>\r\n <\/div>\r\n
\r\n \r\n <\/div>\r\n <\/div>\r\n
\r\n <\/span>\r\n <\/div>\r\n
\r\n \r\n <\/div>\r\n <\/a>\r\n <\/div>\r\n<\/div>\n\n\n\n

D\u2019apr\u00e8s Microsoft, les attaquants se sont servis d\u2019identifiants d\u2019application vol\u00e9s, parmi lesquels un secret d\u2019API compromis, pour entrer dans des environnements cloud de clients de ConnectWise. La campagne aurait frapp\u00e9 des centaines d\u2019organisations<\/strong>, dans de nombreux secteurs, avec un rythme d\u2019activit\u00e9 particuli\u00e8rement soutenu.<\/p>\n\n

Dans le d\u00e9tail, Microsoft explique que Storm-0940 vise des applications expos\u00e9es sur Internet, s\u2019appuie sur des comptes compromis pour se d\u00e9placer lat\u00e9ralement, puis d\u00e9tourne des applications OAuth afin de garder un acc\u00e8s durable<\/strong> aux ressources Microsoft 365<\/a>, sans connexion interactive de l\u2019utilisateur.<\/p>\n\n

Ce qui inqui\u00e8te le plus dans l\u2019analyse publi\u00e9e par Microsoft, c\u2019est l\u2019angle cha\u00eene d\u2019approvisionnement<\/a><\/strong>. En r\u00e9ussissant \u00e0 p\u00e9n\u00e9trer chez un fournisseur de confiance largement d\u00e9ploy\u00e9, les attaquants auraient pu atteindre des environnements clients en aval sans avoir \u00e0 franchir, une par une, les d\u00e9fenses initiales de chaque organisation.<\/p>\n\n

Pour l\u2019instant, les informations publiques restent limit\u00e9es sur plusieurs points : les victimes pr\u00e9cis\u00e9ment vis\u00e9es, l\u2019impact g\u00e9ographique<\/strong> en dehors des \u00c9tats-Unis, et l\u2019ampleur exacte des d\u00e9g\u00e2ts.<\/p>\n\n

Prudence, donc. Nous suivrons le sujet et nous vous tiendrons inform\u00e9s.<\/p>\n

\r\n
\r\n
\r\n
\r\n \"Bitdefender\r\n <\/div>\r\n
\r\n Bitdefender Total Security<\/span>\r\n T\u00e9l\u00e9charger<\/a>\r\n <\/div>\r\n
\r\n \r\n <\/div>\r\n <\/div>\r\n
\r\n <\/span>\r\n <\/div>\r\n
\r\n \r\n <\/div>\r\n <\/a>\r\n <\/div>\r\n<\/div>\n\n\n\n

Microsoft ajoute aussi que l\u2019acc\u00e8s initial s\u2019est appuy\u00e9 sur des secrets d\u2019application d\u00e9rob\u00e9s<\/strong>.<\/p>\n\n

C\u2019est un point assez frappant. Ces secrets machine-\u00e0-machine, souvent moins visibles que les comptes utilisateurs, apparaissent ici comme des portes d\u2019entr\u00e9e<\/a><\/strong> critiques. Microsoft dit aussi avoir vu Storm-0940 ajouter des identifiants \u00e0 des applications OAuth existantes pour maintenir sa persistance. L\u2019\u00e9diteur rappelle enfin que le groupe a d\u00e9j\u00e0 utilis\u00e9 le botnet Quad7 pour conduire des campagnes de password spraying plus discr\u00e8tes.<\/p>\n\n

Microsoft affirme par ailleurs que Storm-0940 s\u2019est servi d\u2019ARTEX<\/strong>, un framework offensif \u00e9crit en Go, pens\u00e9 pour automatiser la reconnaissance, le password spraying, l\u2019abus d\u2019applications OAuth, les changements d\u2019identifiants et les modifications de privil\u00e8ges.<\/p>\n\n

Toujours d\u2019apr\u00e8s Microsoft, l\u2019outil ARTEX avait d\u00e9j\u00e0 \u00e9t\u00e9 li\u00e9 \u00e0 des attaques contre des institutions financi\u00e8res sud-cor\u00e9ennes, avant de passer en priv\u00e9 apr\u00e8s des usages malveillants. Dans certains cas, l\u2019\u00e9diteur dit avoir observ\u00e9 l\u2019obtention d\u2019un acc\u00e8s privil\u00e9gi\u00e9 \u00e0 l\u2019infrastructure cloud d\u2019une victime en moins de trois heures<\/strong>.<\/p>\n\n

L\u2019activit\u00e9 associ\u00e9e \u00e0 ConnectWise montre aussi un niveau d\u2019intensit\u00e9 \u00e9lev\u00e9. Microsoft parle de 2 250<\/strong> tenants vis\u00e9s, de pointes allant jusqu\u2019\u00e0 2 900 tentatives par minute, de 327 comptes cibl\u00e9s dans huit organisations entre le 10 et le 14 octobre 2026 depuis l\u2019infrastructure 144.172.64.99, et de plus de 151 000 \u00e9checs de connexion enregistr\u00e9s.<\/p>\n\n

Enfin, Microsoft indique que, depuis septembre 2026<\/strong>, la campagne aurait vis\u00e9 des organisations de l\u2019a\u00e9ronautique, de la d\u00e9fense, de l\u2019automobile, de la chimie, de l\u2019\u00e9nergie, des services financiers, de l\u2019administration, du juridique, de l\u2019industrie, des m\u00e9dias, du militaire, des semi-conducteurs, du logiciel, de la technologie, des think tanks et du monde associatif. Une bonne illustration de la vitesse \u00e0 laquelle ce type d\u2019op\u00e9ration peut sortir du cadre d\u2019un incident isol\u00e9.<\/p>","protected":false},"excerpt":{"rendered":"

Microsoft attribue d\u00e9sormais la compromission de l\u2019application ConnectWise Cloud Backup, d\u00e9velopp\u00e9e par ConnectWise, \u00e0 Storm-0940, un acteur li\u00e9 \u00e0 la Chine et actif au moins depuis 2021. L\u2019\u00e9diteur estime que cette campagne a touch\u00e9 des centaines d\u2019organisations. D\u2019apr\u00e8s Microsoft, les attaquants se sont servis d\u2019identifiants d\u2019application vol\u00e9s, parmi lesquels un secret d\u2019API compromis, pour entrer … Continue reading “ConnectWise attaqu\u00e9 : Microsoft pointe Storm-0940 et le framework ARTEX”<\/span><\/a><\/p>\n","protected":false},"author":1009,"featured_media":206226,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","wpcf-pageviews":0},"categories":[16761],"tags":[],"usertag":[],"vertical":[],"content-category":[],"class_list":["post-206227","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t