Des espions iraniens attaquent des machines Windows avec le malware voleur de données Chosen Brick

Les cyberacteurs iraniens ciblent les individus qui utilisent des applications de messagerie sociale pour déployer des logiciels malveillants de surveillance et de vol de données sur leurs machines Windows, ont averti trois gouvernements occidentaux.

Dans tous les cas observés, Chosen Brick a infecté exclusivement les systèmes Windows. L’Iran l’utilise depuis au moins 2025 pour s’emparer des appareils des individus, en volant leurs contacts, leurs e-mails et leurs messages sur les réseaux sociaux, ce qui permet aux espions de suivre les mouvements des personnes, ont déclaré mardi le FBI, le Centre national de cybersécurité du Royaume-Uni et le Service général de renseignement et de sécurité (AIVD) des Pays-Bas.

« L’Iran utilise presque certainement la cyberactivité pour soutenir la répression des individus considérés comme une menace pour le régime, tels que les dissidents, les militants et les journalistes », indique l’avis de sécurité. « Dans certains cas, les services de renseignement iraniens ont comploté pour kidnapper ou mener des opérations meurtrières contre des individus à l’échelle internationale, qu’ils perçoivent comme des ennemis du régime. »

Ces attaques commencent généralement par des messages WhatsApp et Telegram, prétendument provenant d’individus et d’organisations que la victime connaît et en qui elle a confiance.

Les espions iraniens effectuent d’importantes recherches pour préparer ces campagnes d’ingénierie sociale. Au moment où ils envoient le message initial via une application de réseau social, ils ont une connaissance « approfondie » de la personne ciblée, de ses contacts et des organisations industrielles concernées pour rendre les faux messages plus crédibles, selon les agences.

Après avoir établi une relation avec la marque, les attaquants les convainquent de télécharger et d’ouvrir un fichier qui semble être une application légitime. Plus précisément : Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player et KeePass font partie des applications légitimes auxquelles les fichiers malveillants ont été créés pour ressembler, ont indiqué les agences gouvernementales.

Lors de l’ouverture du fichier, le malware s’exécute à l’insu de la victime et survivra au redémarrage de l’appareil cible. Chosen Brick ajoute également des exclusions à l’antivirus Microsoft Defender pour tenter d’échapper à la détection, puis se connecte à Telegram pour les communications de commande et de contrôle (C2) à l’aide d’un robot Telegram spécifique à la victime.

Bien qu’il n’ait pas encore été observé que le malware automatise les mouvements latéraux à travers le réseau, cela est « techniquement possible », note l’avis.

Cependant, il télécharge des logiciels malveillants supplémentaires et configure la persistance des nouvelles charges utiles sur les appareils infectés, en utilisant la même clé de registre que celle utilisée par Chosen Brick pour établir sa propre persistance sur un appareil Windows : HKCUSoftwareMicrosoftWindowsCurrentVersionRun.

Les autres fonctionnalités incluent l’énumération des processus en cours et des informations système, la capture du contenu de l’écran et du son, le vol d’e-mails, ainsi que les données Telegram et WhatsApp des navigateurs Web et l’effacement du système informatique.

« Les organisations qui craignent que Chosen Brick ait été exécuté doivent contacter leurs fournisseurs informatiques, internes ou externes, pour enquêter », ont prévenu les États-Unis, le Royaume-Uni et les Pays-Bas. « Comme cet acteur cible les appareils personnels, et pas seulement les appareils d’entreprise, il est recommandé aux organisations de diffuser ce message auprès de leur personnel susceptible d’être ciblé et de les aider également à vérifier leurs appareils personnels. »

La dernière alerte iranienne des agences occidentales fait suite à une série de cyberattaques liées à l’eau et à l’énergie que les chercheurs et les médias ont liées à l’Iran, bien que les gouvernements américain et britannique ne soient pas allés jusqu’à les attribuer formellement, alors que le conflit militaire entre l’Iran et les États-Unis approche de son septième mois.

En août, la principale agence américaine de cybersécurité, la CISA, a révélé que les cyberattaques de juillet qui ont perturbé les services publics des eaux américains dans 12 États visaient plus de 100 systèmes d’approvisionnement en eau exposés à Internet. La CISA n’a cependant pas attribué la campagne à l’Iran ou à qui que ce soit d’autre.

À peu près au même moment, une cyberattaque présumée liée à l’Iran a également provoqué la fermeture d’une petite centrale électrique britannique.

En août également, cinq agences américaines ont averti que des attaquants utilisaient des scripts d’exploitation générés par l’IA pour s’introduire dans les contrôleurs logiques programmables (PLC) Siemens S7 Series exposés à Internet dans les secteurs de l’eau, de la fabrication, de l’énergie et d’autres installations critiques.

« Il ne s’agit pas d’un risque théorique – c’est d’une menace active », ont prévenu les autorités fédérales. ®