Microsoft Security · 21 octobre 2026 · Cyber & GRC
ARTEX : une campagne étatique utilisant l'IA compromet la chaîne d'approvisionnement
Microsoft Security décrit une campagne de Storm-0940, un acteur aligné sur l'État chinois, utilisant le framework de tests d'intrusion par IA agentique ARTEX pour automatiser des attaques contre des centaines d'organisations. Plusieurs attaques ont permis d'obtenir des accès privilégiés à des infrastructures cloud, parfois en moins de trois heures. Microsoft attribue également à Storm-0940 la compromission récemment divulguée de la chaîne d'approvisionnement d'une application multilocataire ConnectWise.
Ce qui est annoncé
Microsoft décrit une campagne de Storm-0940, un acteur aligné sur l’État chinois, qui utilise ARTEX pour automatiser des attaques contre des centaines d’organisations. Ce framework open source de test d’intrusion s’appuie sur des agents d’IA pour enchaîner des opérations offensives avec peu d’intervention humaine. Microsoft attribue également à cet acteur la compromission d’une application multitenant de ConnectWise. Dans plusieurs attaques reposant sur ARTEX, un accès privilégié à une infrastructure cloud a été obtenu moins de trois heures après le ciblage initial.
La campagne exploite notamment la confiance accordée à des applications déjà autorisées dans les environnements Microsoft 365. Des identifiants applicatifs compromis permettent une authentification sans connexion interactive d’un utilisateur. Microsoft a observé, dans plusieurs environnements, des opérations via Microsoft Graph : reconnaissance, modification d’identifiants applicatifs et tentatives de changement de privilèges. L’éditeur précise que cette activité ne résulte ni d’une compromission ni d’une vulnérabilité de ses propres systèmes, produits ou services. Une authentification réussie ne suffit toutefois pas à établir un accès aux données ou leur exfiltration.
Ce que ça change pour les entreprises
Pour les DSI, cette campagne souligne l’importance de contrôler les autorisations des applications tierces, au-delà des seuls comptes utilisateurs. L’automatisation accélère les tentatives et réduit le délai disponible pour analyser les alertes et coordonner une réponse. Des accès persistants peuvent subsister après le traitement de l’application initialement compromise, notamment lorsque d’autres identifiants ou permissions ont été ajoutés.
Les équipes IT sont invitées à examiner les connexions des principaux de service, les changements d’identifiants et de privilèges ainsi que les activités Microsoft Graph associées. Microsoft recommande de conserver les preuves sans retarder le confinement urgent, de maintenir les connexions ConnectWise concernées désactivées jusqu’aux instructions officielles de restauration et d’éviter la suppression immédiate des applications. L’analyse doit aussi tenir compte des conséquences sur les opérations de sauvegarde et de restauration. Microsoft Defender XDR propose des détections et des requêtes de recherche pour certaines activités suspectes.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage de cette revue, l’inventaire des intégrations et la sécurisation des permissions applicatives. Elle peut aussi aider à organiser l’exploitation des journaux et l’adoption de procédures de réponse, en tenant compte des contraintes opérationnelles et des recommandations des éditeurs.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Microsoft Security du 21 octobre 2026.