# Storm-0940 attaque ConnectWise à 2 900 tentatives par minute > Microsoft attribue à Storm-0940 l’automatisation d’attaques contre des clients ConnectWise, avec plus de 2 900 tentatives par minute. Type : Actualité IA · Catégorie : Secteur · Publié le 2026-10-26 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/storm-0940-accelere-ses-attaques-avec-artex-et-connectwise Tags : cybersécurité, attaques, ia, connectwise, identités, claude, agents-ia, open-source --- ## En résumé - Microsoft attribue à Storm-0940 l’usage d’Artex contre des environnements de clients ConnectWise. - Les attaquants ont ciblé plus de 300 comptes dans huit organisations à plus de 2 900 tentatives par minute. - Les agents ont modifié des identifiants applicatifs et des rôles pour maintenir un accès persistant. **Le signal :** Storm-0940 a ciblé plus de 300 comptes dans huit organisations à un rythme dépassant 2 900 tentatives par minute. **Microsoft attribue l’attaque** à Storm-0940, un acteur lié à la Chine actif depuis au moins 2021. Depuis le début de septembre 2026, ce groupe utilise Artex, un cadre de test d’intrusion assisté par IA et disponible sous code ouvert. Microsoft a observé son emploi contre des environnements de clients ConnectWise à la mi-octobre. L’opération a touché plus de 300 comptes répartis dans huit organisations. Le rythme dépassait 2 900 tentatives par minute. Storm-0940 est déjà associé au bourrage d’identifiants et à l’exploitation d’applications exposées sur Internet. Ces méthodes ont visé plusieurs secteurs avant l’utilisation d’Artex dans cette campagne. **ConnectWise suspend plusieurs services** après ces intrusions. Les services concernés incluent Cloud Backup, SaaS Security et Cloud Management. Huntress a observé l’utilisation d’identifiants d’applications ConnectWise compromis. Ces identifiants ont permis l’accès à des centaines de locataires Microsoft 365. Parmi eux figuraient plus de 300 locataires Entra. Microsoft indique qu’Artex a accéléré la reconnaissance, le bourrage d’identifiants et l’abus d’applications OAuth. L’acteur a ensuite tenté de se connecter à plus de 2 250 locataires. Cette activité s’inscrit dans des [attaques](/signal-ia/actu/check-point-revele-des-ia-actives-dans-des-attaques-reelles) automatisées menées depuis septembre contre des centaines d’organisations. Les secteurs concernés incluent notamment la finance, l’énergie, la défense et les technologies. ## Storm-0940 automatise les accès cloud **Les événements révèlent une cadence élevée** dans les environnements ciblés. Microsoft a comptabilisé plus de 151 000 échecs d’authentification associés aux attaques. L’entreprise a aussi observé des authentifications réussies dans des environnements clients. Ces accès utilisaient les [identités](/signal-ia/actu/delinea-87-pourcent-des-entreprises-signalent-des-acces-ia) de plusieurs applications cloud ConnectWise. Microsoft précise qu’Artex a porté l’activité OAuth à une vitesse machine. L’abus d’applications OAuth appartenait déjà à l’outillage habituel de Storm-0940. Dans cette campagne, le cadre automatisé a accéléré son exécution. Les données publiées décrivent ainsi une combinaison entre identifiants compromis, accès cloud et automatisation des tentatives. **Les agents poursuivent les opérations** après l’authentification initiale. Microsoft a observé des activités Microsoft Graph et des opérations sur les annuaires. Les opérations comprenaient la reconnaissance, la modification d’identifiants applicatifs et des changements d’identités. Elles concernaient aussi des groupes et des rôles privilégiés. La modification des identifiants applicatifs a maintenu l’accès après la correction de l’application touchée. Microsoft recommande d’examiner les connexions des principaux de service. Il faut les corréler avec l’activité Microsoft Graph, les changements d’annuaire et l’accès aux ressources. Ces événements doivent aussi être comparés aux activités administratives autorisées. Cette méthode vise les traces laissées par les accès applicatifs. ## Zscaler documente les méthodes utilisées **Les campagnes précédentes éclairent l’opération** sans la réduire à ConnectWise. CrowdStrike, Zscaler et Recorded Future avaient relié l’activité assistée par IA à des attaques contre des institutions financières sud-coréennes. Zscaler a publié cette semaine une analyse technique de Storm-0940. Elle décrit l’utilisation d’Artex, ses configurations et ses scripts de synchronisation. L’analyse inclut également un historique de requêtes [Claude](/signal-ia/actu/anthropic-identifie-claude-code-dans-trois-programmes-darmes) Code et des outils de routage réseau. Microsoft indique que Storm-0940 a visé des organisations de l’aérospatiale, de l’automobile, de la chimie et du logiciel. Des organismes publics, des associations et des groupes de réflexion figuraient aussi parmi les cibles. **Les prochaines analyses préciseront** les mécanismes employés dans cette campagne mondiale. Les travaux de [Microsoft](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/) détaillent les authentifications, les opérations d’annuaire et les changements d’identifiants observés. [Zscaler](https://www.zscaler.com/blogs/security-research/inside-global-ai-assisted-hacking-campaign) documente de son côté Artex, ses scripts et ses outils de routage. [CrowdStrike](https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/) avait auparavant décrit une campagne visant la finance sud-coréenne. ConnectWise a suspendu plusieurs services après les intrusions. Microsoft recommande aux organisations de surveiller les connexions des services et les opérations Graph associées.