Des pirates liés à la Chine ont confié une partie de leur attaque à des agents d'IA, selon Microsoft

Le 21 octobre 2026, Microsoft a publié un rapport qui attribue à Storm-0940, un groupe qu'il dit aligné sur l'État chinois, la récente compromission de ConnectWise, éditeur de logiciels pour les prestataires informatiques. Le rapport insiste surtout sur la méthode : depuis septembre au moins, le groupe utilise ARTEX, un outil open source de test d'intrusion piloté par des agents d'IA, pour automatiser ses attaques contre des centaines d'organisations. Dans plusieurs cas, il s'est écoulé moins de trois heures entre le choix de la cible et l'obtention d'un accès privilégié.

ARTEX, des agents qui mènent l'attaque

Selon Microsoft, ARTEX est un ensemble d'agents fondés sur des modèles de langage, écrit en Go avec une interface web, qui peut fonctionner avec n'importe quel modèle d'IA. Il déroule un test d'intrusion complet, de la reconnaissance jusqu'à l'exfiltration de données, avec peu d'intervention humaine, et range au fur et à mesure les machines et les failles trouvées dans un graphe. Microsoft dit l'avoir repéré chez des attaquants de plusieurs régions ; ARTEX avait déjà été cité dans les piratages d'établissements financiers sud-coréens.

L'intérêt pour un attaquant est la vitesse : des agents travaillent jour et nuit, week-end compris, et essaient plusieurs chemins en parallèle. Les alertes se déclenchent bien, mais laissent très peu de temps aux défenseurs pour réagir de façon coordonnée.

La chaîne de l'attaque

• Du 10 au 14 octobre, une adresse liée au groupe a mené une campagne de pulvérisation de mots de passe contre 327 comptes Microsoft 365 de huit organisations : plus de 151 000 échecs de connexion, avec un pic à 2 900 échecs par minute le 11 octobre. Microsoft n'a constaté aucune connexion réussie lors de cette campagne.
• À partir du 15 octobre, la compromission de l'application de sauvegarde cloud de ConnectWise est apparue, avec des indicateurs liés à la même plage d'adresses. Une fois maîtres de plusieurs applications ConnectWise, les agents ont tenté de se connecter à plus de 2 250 environnements Microsoft 365 clients, en profitant des accès déjà accordés à ces applications, sans connexion interactive d'un utilisateur.
• Dans plusieurs environnements, les agents sont allés plus loin : reconnaissance via Microsoft Graph, ajout d'identifiants à des applications pour garder un accès et tentatives de modifier des rôles privilégiés.

Microsoft précise que ces attaques ne viennent pas d'une faille dans ses produits, et qu'une connexion réussie de l'attaquant ne prouve pas que des données aient été consultées ou volées.

Ce que Microsoft conseille de vérifier

Si ton organisation utilise ConnectWise ou des applications tierces très privilégiées dans Microsoft 365, Microsoft recommande d'examiner les connexions des principaux de service, de chercher les modifications inattendues d'identifiants d'applications ou de privilèges, et de suivre les consignes de confinement de ConnectWise en conservant les traces utiles à l'enquête. Un identifiant ajouté par l'attaquant peut rester une porte dérobée même après la correction de l'application d'origine.