Quand l'intelligence artificielle tombe entre de mauvaises mains, les conséquences peuvent rapidement devenir inquiétantes ! Microsoft vient de révéler les détails d'une vaste campagne de cyberattaques visant des entreprises du monde entier. Derrière cette opération, un groupe de pirates soupçonné d'être lié à la Chine, qui aurait utilisé des agents IA pour automatiser ses intrusions. Et l'une de ses victimes n'est autre que ConnectWise, un fournisseur de services informatiques dont les outils disposent d'accès privilégiés à de nombreux environnements Microsoft 365.
ConnectWise piraté, les clients Microsoft 365 exposés
L'affaire concerne principalement ConnectWise Cloud Backup, un service anciennement connu sous le nom de SkyKick. Utilisé notamment par les prestataires informatiques pour sauvegarder les données de leurs clients, il peut accéder aux messageries Exchange Online, aux fichiers OneDrive, à SharePoint ou encore à Microsoft Teams.
Pour fonctionner, ce type de service reçoit des autorisations au sein des environnements Microsoft 365. Et c'est précisément ce mécanisme de confiance que les pirates ont exploité ! Après avoir compromis des identifiants d'applications appartenant à ConnectWise, ils ont pu utiliser ces accès pour s'authentifier auprès de clients sans avoir besoin de connaître leurs mots de passe.
Selon une enquête publiée par Huntress, des connexions non autorisées avaient déjà été confirmées dans 162 environnements Microsoft 365 au 16 octobre. Dans certains cas, les attaquants ont ensuite exploré les ressources accessibles et tenté d'ajouter de nouveaux identifiants ou de modifier des permissions pour conserver leur accès.
Il faut toutefois distinguer une connexion réussie d'un vol de données confirmé. Microsoft précise que la présence d'une application compromise ne signifie pas nécessairement que les fichiers ou les courriels de tous les clients concernés ont été consultés.
Une intelligence artificielle capable d'attaquer à une vitesse impressionnante
Dans un rapport publié le 21 octobre, Microsoft attribue cette campagne au groupe Storm-0940, qu'il considère comme lié à l'État chinois. Les pirates auraient notamment utilisé ARTEX, un outil de tests d'intrusion reposant sur des agents d'intelligence artificielle.
Son intérêt pour les attaquants ? Automatiser la recherche de vulnérabilités, multiplier les tentatives de connexion et effectuer des opérations complexes sans devoir intervenir manuellement à chaque étape.
Microsoft indique qu'après la compromission de ConnectWise, les pirates ont utilisé ARTEX pour lancer des tentatives d'authentification concernant plus de 2 250 environnements Microsoft 365. Lors d'une autre phase de la campagne, les systèmes de surveillance ont enregistré plus de 151 000 échecs de connexion visant 327 comptes répartis dans huit organisations, avec une pointe atteignant 2 900 tentatives par minute.
Dans plusieurs attaques menées par ce groupe, moins de trois heures auraient suffi pour obtenir des accès privilégiés aux infrastructures cloud de certaines victimes. Un délai particulièrement court, qui complique considérablement la réaction des équipes de sécurité.
Attention cependant : ce n'est pas une IA qui aurait décidé seule d'attaquer des entreprises. Les opérations étaient conduites par des pirates humains, utilisant l'intelligence artificielle comme outil d'automatisation et d'accélération.
Les services de sauvegarde suspendus depuis le 17 octobre
Face à l'incident, ConnectWise a rapidement désactivé les accès aux applications concernées. Son service Cloud Backup a été suspendu, tout comme SaaS Security et Cloud Management, deux autres outils arrêtés par précaution.
Dans son dernier communiqué du 23 octobre, ConnectWise indique poursuivre la restauration de ses services. Les tests de sécurité devraient se terminer durant le week-end, avec un rétablissement progressif des fonctionnalités si les vérifications sont concluantes.
Bonne nouvelle malgré tout : selon l'entreprise, les archives de sauvegarde existantes restent chiffrées et isolées, sans indication qu'elles aient été compromises. En revanche, leur restauration demeure temporairement indisponible, ce qui peut poser de sérieux problèmes aux entreprises ayant besoin de récupérer rapidement des fichiers.
Faut-il s'inquiéter si son entreprise utilise Microsoft 365 ?
Pas de panique pour tous les utilisateurs de Word, Outlook ou OneDrive ! Cette attaque n'est pas liée à une faille générale de Microsoft 365. Elle concerne des accès accordés à des applications tierces compromises, principalement au travers des services ConnectWise concernés.
Les entreprises utilisant ConnectWise Cloud Backup, y compris d'anciennes intégrations SkyKick, doivent néanmoins examiner leurs journaux de connexion Microsoft Entra ID, vérifier les autorisations des applications et rechercher d'éventuels comptes ou identifiants ajoutés à leur insu.
Microsoft recommande également de conserver les journaux nécessaires aux investigations et de ne pas réactiver les connexions concernées avant les instructions officielles de ConnectWise. Désactiver l'application compromise ne supprime pas automatiquement les accès supplémentaires qu'un pirate aurait déjà créés.
Cette affaire illustre deux problèmes de sécurité particulièrement actuels : notre dépendance envers des services cloud disposant de permissions importantes et la capacité des intelligences artificielles à accélérer considérablement certaines cyberattaques. Les IA ne rendent pas les pirates invincibles, mais elles peuvent leur permettre de travailler beaucoup plus vite. Et c'est déjà suffisamment préoccupant !
Commentaires
Aucun commentaire pour le moment.