ConnectWise et Microsoft 365 : vérifiez aussi les accès des applications
Microsoft signale des accès par des applications ConnectWise déjà autorisées dans Microsoft 365. Les anciens raccordements aussi sont à vérifier. Changer un mot de passe utilisateur ne traite pas les accès applicatifs ajoutés.
Pour aller plus loin
Image générée · SecuFocus
En bref
L’essentiel
Votre organisation utilise, ou a utilisé, ConnectWise Cloud Backup avec Microsoft 365 ? Transmettez le bulletin Microsoft du 21 octobre à l’administrateur. Il demande de garder les connexions concernées désactivées et d’examiner les traces d’accès avant toute remise en service. Une intégration abandonnée peut encore avoir des autorisations.
Une application peut entrer sans connexion interactive
Microsoft rapporte que Storm-0940 a utilisé des identifiants d’applications ConnectWise compromis pour accéder à des environnements Microsoft 365 qui leur avaient déjà accordé des droits. Ces accès ne demandaient pas de connexion interactive d’un utilisateur. Le bulletin décrit aussi des changements d’identifiants applicatifs et de privilèges susceptibles de maintenir un accès après le traitement de l’application d’origine.
Microsoft attribue à l’outil d’IA ARTEX une accélération de cette activité. Pour l’administrateur, le point à traiter reste l’accès accordé aux applications et ce qui a été fait avec lui. Le billet ne présente pas cette campagne comme l’exploitation d’une faille de Microsoft 365.
Rechercher les raccordements anciens aussi
Demandez à l’administrateur de rechercher les applications par leur identifiant, pas seulement par leur nom affiché, dans chaque environnement où elles sont ou ont été autorisées. Les connexions des principaux de service, les identités locales qui représentent ces applications, doivent être examinées avec les journaux d’audit.
Microsoft recommande de vérifier au minimum l’activité depuis le 15 octobre 2026, et de remonter au 1er octobre pour les connexions lorsque les traces sont disponibles. Les ajouts d’identifiants, de propriétaires, de permissions et de rôles privilégiés comptent, tout comme les accès inhabituels aux messages ou aux fichiers. La seule présence d’une application, ou même une authentification réussie, ne prouve pas un vol de données.
Le bulletin enrichi décrit aussi des lectures massives de secrets dans plusieurs Azure Key Vaults, ainsi que des opérations d’énumération de clés et de déchiffrement de clé par l’opération unwrap. Il ajoute des requêtes de recherche pour ces activités et pour Azure Storage et ARM. Si l’application disposait de droits sur vos ressources Azure, vérifiez ce périmètre au lieu de limiter l’enquête aux boîtes Microsoft 365. Cette observation de Microsoft ne prouve pas que vos propres secrets ont été lus.
Contenir sans effacer les traces
Le bulletin demande de garder les connexions ConnectWise concernées désactivées jusqu’aux instructions formelles de restauration de l’éditeur. Il déconseille de supprimer d’abord les applications d’entreprise : conservez leur configuration et les preuves utiles, sans retarder l’endiguement urgent pour attendre un export de journaux.
Un intervenant autorisé doit ensuite traiter les accès non autorisés confirmés, notamment les identifiants et droits ajoutés. Changer seulement le mot de passe d’un utilisateur ne retire pas ces ajouts. Avant de rétablir la liaison, vérifiez aussi les conséquences sur les sauvegardes et les possibilités de restauration.
Ce que cette brève ne permet pas de conclure
SecuFocus a lu le bulletin Microsoft, pas inspecté votre environnement ni exécuté ses requêtes. Les observations et l’attribution de la campagne sont celles de Microsoft. Nous n’avons pas consulté directement l’avis ConnectWise, hors de notre liste de veille.
Les exemples de requêtes ne remplacent pas l’inventaire de vos applications. Si vous n’administrez pas Microsoft 365, demandez à votre prestataire de confirmer l’exposition, les vérifications effectuées et les conditions de remise en service. Ne supprimez pas vous-même des accès de production à partir de cette seule brève.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.