Les agences britanniques, américaines et néerlandaises alertent sur un malware iranien ciblant les dissidents et les journalistes

Les agences de cybersécurité du Royaume-Uni, des États-Unis et des Pays-Bas ont publié un avis concernant CHOSEN BRICK, une famille de malwares liée à des opérateurs soutenus par l’État iranien et utilisée contre des dissidents, des militants et des journalistes à l’échelle internationale.

Le National Cyber Security Centre (NCSC) britannique a déclaré que cette campagne cible des personnes dans des pays tels que le Royaume-Uni, les États-Unis et les Pays-Bas depuis au moins 2025. Les autorités estiment que les autorités iraniennes utilisent des opérations cyber afin de surveiller et de réprimer les personnes considérées comme opposées au régime. Le vol de contacts ainsi que de communications par e-mail et sur les réseaux sociaux peut également permettre aux opérateurs d’établir des profils détaillés des victimes et potentiellement de suivre leurs déplacements.

Selon l’avis, certaines personnes auparavant touchées par le malware ont ensuite vu leurs données personnelles publiées sur des sites de fuite pro-iraniens, ce qui soulève des inquiétudes quant aux risques potentiels pour leur sécurité physique. Les services de renseignement iraniens ont déjà été accusés de planifier des enlèvements et des opérations létales contre des opposants présumés à l’étranger.

Une ingénierie sociale adaptée aux cibles

Les opérateurs commenceraient par établir une relation de confiance via des services de messagerie tels que WhatsApp et Telegram. Ils peuvent usurper l’identité d’un contact connu ou du personnel d’assistance d’une plateforme, en utilisant des informations recueillies sur la victime visée afin de rendre leur approche plus convaincante.

Les victimes sont ensuite persuadées d’ouvrir des fichiers ou d’installer des logiciels conçus pour paraître légitimes. Des leurres observés se sont présentés comme des applications telles que Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player et KeePass, ainsi que comme de prétendus résultats d’IRM. Les programmes trompeurs affichent des écrans correspondant à leur fonction annoncée tout en installant la charge utile CHOSEN BRICK en arrière-plan.

Des capacités de surveillance axées sur Windows

Le malware a été observé ciblant des appareils Windows. Il peut conserver l’accès après un redémarrage en créant des entrées de démarrage dans le registre et peut tenter d’affaiblir les protections de Microsoft Defender en ajoutant des exclusions antivirus. Il communique avec les opérateurs via des bots Telegram, des identifiants de bot distincts étant utilisés pour chaque victime.

CHOSEN BRICK peut collecter des données et exécuter des commandes à l’aide d’outils Windows intégrés. Bien que les analystes ne l’aient pas vu se déplacer automatiquement entre les systèmes, il peut récupérer des malwares supplémentaires, ce qui pourrait étendre l’impact d’une compromission.

• Faites preuve de prudence face aux fichiers inattendus et aux demandes d’installation de logiciels envoyés via des applications de messagerie.
• Vérifiez les identités par un canal indépendant avant d’ouvrir des pièces jointes ou de suivre des instructions d’assistance technique.
• Maintenez les protections des terminaux activées et examinez les exclusions antivirus inexpliquées ou les nouvelles entrées de démarrage dans le registre.
• Les organisations qui soutiennent des personnes à risque devraient veiller à ce que les appareils personnels bénéficient de conseils et d’une assistance de sécurité appropriés.