Des pirates liés à l’État chinois ont pénétré dans le service de sauvegarde dans le cloud de ConnectWise et volé des identifiants permettant de relier ce service aux systèmes de ses clients, selon des chercheurs en sécurité de Microsoft. Ces identifiants pouvaient permettre aux pirates d’accéder aux environnements Microsoft des clients en tant qu’utilisateurs autorisés, et ainsi à leurs courriels et autres fichiers.
Microsoft affirme que les pirates ont utilisé des agents IA pour effectuer près de 3 000 tentatives de connexion par minute contre quelque 2 250 organisations. Ce chiffre correspond aux tentatives de connexion ; la source ne précise pas combien ont abouti ni quelles organisations ont été touchées.
Comment la faille a été exploitée
Les identifiants d’application volés relient le service de sauvegarde de ConnectWise aux comptes des entreprises clientes. Une fois dans l’environnement Microsoft d’un client, les pirates pouvaient accéder aux données qui s’y trouvaient, et pas seulement aux sauvegardes stockées chez ConnectWise.
Microsoft attribue la rapidité de la campagne à ARTEX, un framework d’IA open source conçu pour fonctionner avec des modèles d’IA afin de tester la résistance des défenses contre les cyberattaques. La source indique que le même logiciel a été utilisé lors d’une récente compromission des systèmes financiers sud-coréens, où de nombreuses organisations auraient eu une sécurité insuffisante et n’auraient pas utilisé l’authentification multifacteur. Elle ne fournit pas de détails techniques sur l’utilisation d’ARTEX dans l’un ou l’autre de ces incidents.
La réponse de ConnectWise
ConnectWise a indiqué avoir suspendu l’accès à son système de sauvegarde dans le cloud et enquêter sur la faille. Le 22 octobre, l’entreprise a déclaré travailler au rétablissement du service. La source ne nomme aucun client touché, ne précise pas combien de comptes ont été effectivement consultés ni quelles données les pirates ont obtenues.
Le récit de Microsoft montre comment le vol d’identifiants peut transformer une faille chez un fournisseur de services en point d’accès aux systèmes de ses clients. Toutefois, le rythme signalé des tentatives de connexion ne prouve pas, à lui seul, que toutes les organisations ciblées ont été compromises.
Pourquoi c'est important
Pour les entreprises qui relient leurs comptes hébergés par Microsoft au service de sauvegarde de ConnectWise, des identifiants volés pourraient donner accès aux courriels et à d’autres fichiers au-delà du système de sauvegarde. La source ne nomme aucun client touché et ne confirme pas combien d’organisations ont vu leurs données consultées : l’ampleur réelle de l’incident reste donc incertaine.
