Avec ARTEX, un logiciel de tests d’intrusion piloté par des agents d’intelligence artificielle, certains pirates sont passés en moins de trois heures d’un premier repérage à un accès privilégié au réseau attaqué, selon le FBI. D’après Microsoft, un groupe lié à l’État chinois l’a utilisé pour tenter de pénétrer dans plus de 2 250 environnements Microsoft 365.
Le développeur Autumn-27 a publié ARTEX sur GitHub en juillet, pour aider les spécialistes à tester la sécurité des systèmes dont ils ont la charge. Une fois l’outil détourné, les pirates lui fixent un objectif, et le travail est réparti entre des agents d’IA chargés du repérage, de l’exploitation des failles puis du vol de données. ARTEX fonctionne sans modèle d’IA intégré. Les pirates le branchent sur Claude, GPT, DeepSeek, Grok ou Kimi, et selon le FBI, ils choisissent surtout des modèles chinois, DeepSeek en tête. Le dépôt d’origine a été retiré de GitHub le 8 octobre, après les premiers signalements de détournement, notamment contre des banques sud-coréennes, mais des copies, des versions modifiées et une édition payante, ARTEX PRO, circulent toujours. ARTEX « permet à des pirates aux compétences techniques minimes de mener des opérations complexes contre plusieurs cibles », souligne le FBI dans son alerte sur ce logiciel.
Des pirates ont détourné les accès d’un service de sauvegarde de Microsoft 365
Si votre entreprise sauvegarde ses e-mails et ses fichiers Microsoft 365 avec ConnectWise Cloud Backup, l’ancien SkyKick, votre prestataire informatique a accordé à ce service de larges droits sur vos boîtes mail, vos fichiers et vos conversations Teams. ConnectWise utilise ses identifiants d’application pour faire ses copies, sans passer par le compte d’un salarié.
À la mi-octobre, des pirates ont dérobé les identifiants de plusieurs applications de ConnectWise, puis ils se sont connectés aux comptes Microsoft 365 de ses clients grâce à ces droits accordés d’avance. Selon Microsoft, l’opération est l’œuvre de Storm-0940, un groupe aligné sur l’État chinois. Ses membres ont utilisé ARTEX pour automatiser le repérage, le détournement des autorisations des applications et la pulvérisation de mots de passe, une technique où un même mot de passe courant est essayé sur des milliers de comptes.
Avec les identités volées, les pirates ont tenté d’entrer dans plus de 2 250 environnements Microsoft 365. L’entreprise de sécurité Huntress a dénombré au moins 162 comptes d’entreprise compromis, et dans certains, les intrus ont modifié des identifiants pour tenter de garder un accès durable. ConnectWise a coupé son service, et l’entreprise assure que ses archives de sauvegarde sont restées chiffrées et isolées, sans aucun signe de compromission.
- Applications web gratuites pour les besoins simples
- Applications de bureau particulièrement complètes
- Intégration avec OneDrive et les services Microsoft
Le FBI demande aux entreprises de contrôler les applications reliées à Microsoft 365
Selon le FBI, ARTEX est particulièrement efficace contre les systèmes oubliés, par exemple les portails réservés aux partenaires ou les anciens services. L’agence conseille donc aux responsables informatiques de recenser toutes les applications de leur entreprise accessibles depuis internet, puis d’accorder à chaque application connectée les seuls droits dont elle a besoin.
Là où ConnectWise Cloud Backup est installé, ou l’a été, le FBI demande d’examiner chaque compte Microsoft 365 concerné, en recherchant l’application par son identifiant et non par son nom affiché, au moins depuis le 1er octobre, connexions ratées comprises. Dans Entra, l’annuaire des comptes de Microsoft 365, les administrateurs doivent aussi vérifier l’ajout d’identifiants, l’arrivée de nouvelles applications, les consentements accordés et les changements de rôles.
Le FBI demande de laisser les connexions de ConnectWise désactivées jusqu’à ses instructions de remise en service, sans supprimer l’application dans un premier temps, pour conserver les traces de l’intrusion. Il recommande aussi de vérifier les adresses IP publiées dans l’alerte avant de les bloquer, car les pirates ont pu changer d’adresses depuis les attaques. En France, vous pouvez trouver de l’aide sur la plateforme d’assistance aux victimes de cyberattaques, que vous soyez un particulier ou une entreprise.
