Une campagne d'envergure étatique pilotée par l'IA, utilisant ARTEX, permet le compromis de la chaîne d'approvisionnement | Microsoft Security Blog

Dès septembre 2026, Storm-0940, un acteur aligné sur la Chine, a utilisé le framework de test d'intrusion IA agentique ARTEX pour automatiser des attaques ciblant des centaines d'organisations dans le monde, dans un large éventail d'industries. Plusieurs de ces attaques de Storm-0940 pilotées par ARTEX ont permis à l'acteur d'obtenir un accès privilégié à l'infrastructure cloud d'une organisation, y compris dans plusieurs cas où le temps entre le ciblage initial et l'accès privilégié a été inférieur à 3 heures. Microsoft estime que Storm-0940 est responsable du récent compromis de la chaîne d'approvisionnement de ConnectWise, impliquant une application multi-locataire.

Détails

Cette activité démontre comment les acteurs malveillants intègrent l'IA agentique dans les flux de travail de sécurité offensive existants, leur permettant de mettre à l'échelle leurs opérations de manière exponentielle. Les agents ne sont pas contraints par des facteurs affectant les humains : ils peuvent travailler 24h/24 et 7j/7, les week-ends et les jours fériés, et tenter plusieurs chemins de compromission simultanément, réduisant considérablement le temps entre la sélection d'une cible et l'atteinte des objectifs, augmentant ainsi la vitesse et l'impact d'attaques complexes comme les compromis de chaînes d'approvisionnement.

Contexte

L'utilisation d'ARTEX par Storm-0940 a accéléré l'abus d'applications compromises pour authentifier les environnements clients Microsoft 365 via des applications qui avaient déjà reçu une autorisation. Cela a permis à l'acteur malveillant d'opérer sans nécessiter de connexion utilisateur interactive. Dans plusieurs environnements affectés, Microsoft a observé une activité de suivi accélérée par l'IA via Microsoft Graph, y compris la reconnaissance, les modifications d'identifiants d'application et les tentatives de modification de privilèges qui pourraient permettre un accès élargi ou persistant.

Impact

L'activité menée par l'acteur malveillant via l'utilisation du framework ARTEX n'est pas le résultat d'un compromis ou d'une vulnérabilité dans les systèmes, produits ou services de Microsoft. Bien que Microsoft ait identifié une authentification initiée par Storm-0940 et une activité de suivi dans plusieurs environnements clients, la présence d'une application affectée ou une authentification réussie de l'acteur malveillant n'indique pas nécessairement que des données clients ont été consultées ou exfiltrées.

Prochaines étapes

Microsoft Defender XDR fournit des détections et des requêtes de chasse pour les activités suspectes de Microsoft Graph et les activités associées à l'infrastructure de menace connue. Les clients doivent examiner les connexions des principaux de service, enquêter sur les modifications inattendues des identifiants ou des privilèges des applications, et suivre les directives de confinement publiées par ConnectWise tout en préservant les preuves pertinentes pour l'enquête.

Contexte

Pour une liste complète des détections, veuillez consulter la section des détections. Ce qui se passe : Storm-0940 est un acteur aligné sur la Chine, sans alias d'industrie connu, actif depuis 2021 et ciblant des organisations dans plusieurs industries pour le vol de données. L'acteur a historiquement obtenu un accès initial en utilisant le 'password spraying' et l'exploitation d'applications exposées sur Internet, avant d'utiliser des comptes compromis pour se déplacer dans les environnements ciblés.

Analyse

Dans les environnements cloud, l'acteur a également établi la persistance en ajoutant des identifiants à des applications OAuth existantes, permettant un accès continu aux ressources Microsoft 365. L'acteur a utilisé ces applications pour accéder et exfiltrer des e-mails et d'autres données via Microsoft Graph. Dès septembre 2026, Storm-0940 a utilisé le framework de test d'intrusion IA agentique ARTEX pour automatiser des attaques ciblant des centaines d'organisations dans le monde, dans un large éventail d'industries.

Plus

Ceux-ci incluent l'aérospatiale et la défense, l'automobile, la chimie, l'énergie, les services financiers, le gouvernement, le droit, la fabrication, les médias, le militaire, les semi-conducteurs, les logiciels, la technologie, ainsi que les groupes de réflexion et les organisations à but non lucratif. Lors du compromis de la chaîne d'approvisionnement de ConnectWise, Storm-0940 a utilisé ARTEX pour accélérer le scan et la reconnaissance, le 'password spraying', et l'abus d'applications OAuth chez les victimes en aval.