Cyberattaque contre ConnectWise : Microsoft accuse des pirates liés à la Chine d’avoir utilisé l’IA

ANKARA (AA)

Un groupe de pirates informatiques lié à l’État chinois a utilisé un outil de tests de sécurité fondé sur l’intelligence artificielle (IA) lors d’une campagne ayant compromis la société de services informatiques ConnectWise et ciblé des centaines d’organisations dans le monde, a annoncé mercredi Microsoft.

Dans un article publié sur son blog consacré à la sécurité, Microsoft a attribué cette campagne au groupe Storm-0940, actif depuis 2021 selon l’entreprise. Les organisations visées appartenaient notamment aux secteurs gouvernemental, de la défense, de l’énergie, des services financiers et des technologies.

Les pirates ont utilisé ARTEX, un outil de tests d’intrusion en accès libre qui s’appuie sur des modèles d’IA pour automatiser différentes tâches, de la détection de failles de sécurité au vol de données.

Normalement destinés à évaluer la sécurité des systèmes informatiques, les tests d’intrusion ont ici été détournés pour accélérer les attaques, selon Microsoft.

Dans plusieurs cas, les pirates ont obtenu un accès avec des privilèges élevés à des systèmes cloud moins de trois heures après avoir choisi leur cible. Si la plupart des tentatives ont échoué, le groupe est parvenu à maintenir un accès durable aux systèmes de nombreuses organisations, a indiqué l’entreprise.

Microsoft a toutefois précisé que les connexions réussies ne signifiaient pas nécessairement que les données des clients avaient été consultées ou dérobées.

De son côté, ConnectWise a déclaré que les éléments à sa disposition, notamment les renseignements fournis par Microsoft, désignaient un groupe lié à l’État chinois comme responsable de l’attaque visant son service Cloud Backup, anciennement connu sous le nom de SkyKick.

La société a indiqué avoir isolé les connexions des applications touchées et engagé un rétablissement progressif des services après des contrôles de sécurité.

Elle a toutefois averti que ces mesures ne permettraient pas, à elles seules, de supprimer les éventuels accès non autorisés établis dans les environnements Microsoft 365 de certains clients. Ceux-ci nécessitent des investigations distinctes.

Dans une mise à jour publiée jeudi, ConnectWise a précisé que le rétablissement des services devrait prendre plusieurs jours. Les archives de sauvegarde existantes restaient chiffrées, isolées et préservées, sans signe de compromission, selon la société.

L’entreprise a demandé à ses clients de maintenir les connexions concernées désactivées jusqu’à la publication de consignes officielles autorisant leur réactivation.

L’origine de l’exposition des identifiants restait à l’étude, a ajouté ConnectWise, qui n’avait pas encore établi si une vulnérabilité de son produit avait contribué à l’incident.

L’ambassade de Chine à Washington a rejeté les accusations visant Pékin, affirmant que la Chine s’opposait au piratage informatique et dénonçant des tentatives de salir sa réputation.

*Traduit de l'anglais par Sanaa Amir