🌐 Contexte

Publié le 21 octobre 2026 par Microsoft Security Research et Microsoft Threat Intelligence, cet article détaille une campagne offensive à grande échelle menée par Storm-0940, un acteur aligné sur les intérêts de l’État chinois, actif depuis 2021 et spécialisé dans le vol de données.

🤖 Utilisation du framework ARTEX

ARTEX est un framework open-source de tests d’intrusion multi-agents basé sur des LLM, écrit en Go avec un frontend Next.js. Il automatise l’ensemble du cycle d’attaque, de la reconnaissance à l’exfiltration de données, avec peu d’interaction humaine. Il supporte plusieurs modèles d’IA et peut opérer en anglais, coréen, mandarin, espagnol ou japonais.

Dès septembre 2026, Storm-0940 a utilisé ARTEX pour :

  • Automatiser le password spraying à grande échelle
  • Accélérer la reconnaissance et le scanning
  • Abuser des applications OAuth pour s’authentifier sans connexion utilisateur interactive
  • Effectuer des opérations via Microsoft Graph (reconnaissance, modification de credentials, escalade de privilèges)

🔗 Compromission de la chaîne d’approvisionnement ConnectWise

Le 15 octobre 2026, après une campagne de password spraying entre le 10 et le 14 octobre ciblant 327 comptes dans 8 organisations (151 000+ échecs de connexion, pic à 2 900 échecs/minute), Storm-0940 a exploité la compromission de l’application cloud backup ConnectWise pour :

  • Tenter de se connecter à plus de 2 250 tenants à un rythme de 2 900 tentatives de connexion par minute
  • Utiliser les credentials volés des applications ConnectWise pour s’authentifier dans les environnements clients
  • Progresser vers des opérations Microsoft Graph incluant modification de credentials d’applications, changements de rôles privilégiés et persistance

Dans plusieurs cas, le délai entre le ciblage initial et l’obtention d’un accès privilégié était inférieur à 3 heures.

🎯 Secteurs ciblés

Aérospatiale et défense, automobile, chimie, énergie, services financiers, gouvernement, juridique, manufacturing, médias, militaire, semi-conducteurs, logiciels, technologie, think tanks et ONG.

📋 Infrastructure malveillante identifiée

  • IPs de password spraying et d’accès Graph : 144.172.64.99, 144.172.64.128, 144.172.64.60
  • IPs VPN utilisées pour l’accès Graph : 187.15.88.186, 187.15.90.217, 187.15.89.186
  • User-agents : Python-urllib/3.12, python-requests/2.31.0, python-requests/2.34.2, curl/7.88.1, azure-toolkit/1.0
  • Applications ConnectWise compromises (IDs OAuth) : 506e08f9-6e9a-4da4-942b-a099a03644ae, 24205314-2b89-4e07-a2a4-579e898a5640, 0de14c77-b9b0-4137-9360-34878a929827, c921256f-04a7-44e8-9b2a-69c33929ba19

📄 Nature de l’article

Il s’agit d’une analyse technique et rapport d’incident publié par Microsoft Threat Intelligence, visant à documenter la campagne, fournir des indicateurs de compromission, des requêtes de chasse avancée et des détections pour Microsoft Defender XDR et Sentinel.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1595 — Active Scanning (Reconnaissance)
  • T1078.004 — Valid Accounts: Cloud Accounts (Initial Access)
  • T1195 — Supply Chain Compromise (Initial Access)
  • T1098.003 — Account Manipulation: Additional Cloud Roles (Privilege Escalation)
  • T1098.001 — Account Manipulation: Additional Cloud Credentials (Persistence)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1087.004 — Account Discovery: Cloud Account (Discovery)
  • T1580 — Cloud Infrastructure Discovery (Discovery)
  • T1110.003 — Brute Force: Password Spraying (Credential Access)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ARTEX (framework)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ microsoft.com — source reconnue (liste interne) (20pts)
  • ✅ 30768 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Storm-0940 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 144.172.64.128 (ip) → VT (12/92 détections)
  • 144.172.64.99 (ip) → VT (9/92 détections)
  • 144.172.64.60 (ip) → VT (9/92 détections)

🔗 Source originale : https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/