ConnectWise Cloud Backup : Microsoft attribue l'attaque à Storm-0940

Faits annoncés

The Hacker News rapporte le 22 octobre 2026 que Microsoft attribue la récente compromission de ConnectWise Cloud Backup à Storm-0940, un acteur lié à l’État chinois. L’acteur a utilisé ARTEX, un framework de tests d’intrusion reposant sur des agents IA et développé en Go. L’outil a été rendu fermé après son détournement contre des institutions financières sud-coréennes. Dès le 17 octobre, BleepingComputer signalait la fermeture de l’accès client à Cloud Backup après l’accès d’attaquants à des identités applicatives et la compromission de tenants Microsoft 365. Ces relais concernent le même incident ; celui du 22 octobre apporte l’attribution à Storm-0940 et l’usage d’ARTEX, sans établir une faille de version d’un agent de sauvegarde.

Sources : China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack ; Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack.

Impacts immédiats — analyse

Pour les équipes utilisant Cloud Backup, l’enjeu est de déterminer si leur environnement est concerné et si des accès liés à l’application doivent être examinés. L’extrait établit une compromission de chaîne d’approvisionnement et l’emploi d’un outil d’automatisation offensif ; il ne démontre pas une vulnérabilité de version d’un agent installé. Il ne permet ni de présumer une exfiltration chez tous les clients ni de conclure à une absence d’activité malveillante. Les mesures applicables doivent suivre les avis des fournisseurs et l’analyse locale.

Éléments de référence : China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack ; Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack.

À un an — hypothèses conditionnelles

À un an, si les organisations renforcent la revue des connexions applicatives et les contrôles des accès tiers, elles pourraient réduire l’exposition à des abus comparables. Cette hypothèse dépend de l’application effective des mesures et de leur suivi. Le signal à surveiller serait l’apparition d’accès applicatifs ou de changements de privilèges inexpliqués, plutôt qu’une supposée version corrigée du framework ARTEX.

Éléments de référence : China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack.

Actions à envisager

1. Le responsable sécurité peut consulter les avis Microsoft et ConnectWise pour identifier le périmètre et les consignes applicables.
2. L’administrateur peut inventorier les connexions et autorisations de Cloud Backup dans les environnements Microsoft 365 concernés.
3. L’analyste peut préserver les journaux disponibles et examiner les accès ou changements applicatifs inhabituels avec les équipes autorisées.
4. L’équipe d’exploitation peut suivre les consignes de confinement et de rétablissement du fournisseur, après vérification de leur périmètre local.
5. Le responsable du service peut documenter les vérifications réalisées et valider les conditions de reconnexion avant tout rétablissement local.

Incertitudes et limites

Les extraits ne fournissent ni inventaire des environnements touchés ni constat d’exfiltration propre à un client. Ils ne désignent pas une version d’agent vulnérable ou un correctif logiciel qui suffirait à traiter l’incident. L’étendue des accès et les mesures de rétablissement applicables restent à établir avec les avis officiels et les preuves locales.

Article préparé automatiquement à partir d’extraits publics ; les sources intégrales n’ont pas été consultées par le modèle. Les analyses et perspectives ne constituent pas des faits acquis.

Sources

• China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack — publication du 2026-10-22.
• Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack — publication du 2026-10-17.