Une attaque par IA a ciblé des milliers d’environnements Microsoft 365

Microsoft détaille une cyberattaque d’une grande vélocité qui est attribuée au groupe Storm-0940 et a visé les environnements cloud de ses clients. Ce groupe Storm-0940 est affilié à la Chine.

L’attaque a utilisé un framework d’IA open source pour automatiser les intrusions à une échelle industrielle, en exploitant une faille en rapport avec ConnectWise.

L’IA a démultiplié la puissance de l’attaque

Le groupe Storm-0940, actif depuis au moins 2021, a intégré ARTEX à son arsenal dès septembre. Cet outil, un framework de test d’intrusion, utilise des agents IA pour automatiser l’intégralité du processus, de la reconnaissance à l’exfiltration de données, en passant par les attaques sur les identifiants.

Pour Microsoft, cette technologie a permis aux attaquants de procéder de manière exponentielle, en s’affranchissant des contraintes humaines. Dans certains cas, les attaquants sont passés du ciblage initial à l’obtention d’un accès cloud privilégié en moins de trois heures.

C’est en pivotant vers les identifiants d’application ConnectWise compromis que l’attaque a pris toute son ampleur, avec des pics atteignant 2 900 tentatives de connexion par minute.

Quel était le point d’entrée ?

La porte d’entrée de cette attaque a été l’application ConnectWise Cloud Backup. En compromettant les identifiants de cette application, les attaquants de Storm-0940 ont pu exploiter les permissions que les clients avaient déjà accordées au service.

Cette méthode leur a permis de contourner les authentifications interactives, car l’application disposait déjà d’un accès de confiance aux environnements Microsoft 365.

Au total, plus de 2 250 tenants Microsoft 365 (instances cloud dédiées et isolées d’une organisation) ont été ciblés. Si Microsoft précise que la majorité des tentatives a échoué, une fois à l’intérieur les agents IA ont modifié des identifiants et des rôles d’administrateur pour créer des portes dérobées.

Des enseignements à tirer pour la cybersécurité ?

Cet incident met en lumière une faille critique dans la sécurité des écosystèmes cloud : la confiance implicite accordée aux applications tierces. Par ailleurs, des outils comme ARTEX, initialement conçus pour la recherche et disponibles en open source, mettent des capacités autrefois réservées à des groupes d’élite à la portée de tous.