Les agences de sécurité ont révélé de nouveaux détails concernant CHOSEN BRICK , une famille de malwares Windows utilisée par des hackers iraniens liés à l’État pour maintenir l’accès aux ordinateurs et collecter des informations sensibles auprès de cibles sélectionnées.
Le UK’s National Cyber Security Centre , le FBI et l’AIVD des Pays-Bas ont lié la campagne à des acteurs cybernétiques de l’État iraniens. Le FBI évalue que les opérateurs travaillant pour le compte du ministère iranien du Renseignement et de la Sécurité sont responsables des activités connexes.
CHOSEN BRICK a été observé cibler des personnes dans le monde entier depuis au moins 2025. Le FBI suit les logiciels malveillants associés sous le nom HEAVYGRAM et a identifié des versions utilisées dans des opérations remontant à l’automne 2023.
La campagne s’est principalement concentrée sur des dissidents iraniens, des journalistes critiques envers le gouvernement iranien, des militants et des membres d’organisations dont les opinions sont en contradiction avec les récits du gouvernement iranien.
Les attaquants ne s’appuient pas sur une distribution indiscriminée de malwares. Ils étudient plutôt des cibles individuelles et utilisent l’ingénierie sociale personnalisée pour augmenter la probabilité qu’un fichier malveillant soit ouvert.
Le premier contact peut avoir lieu via Telegram ou WhatsApp. Les attaquants peuvent se faire passer pour quelqu’un en qui la victime a confiance ou prétendre fournir un support technique. Après avoir établi leur crédibilité, ils envoient un fichier conçu pour correspondre à la conversation.
Les déguisements varient considérablement. Les autorités ont identifié des fichiers malveillants présentés comme Telegram, KeePass, Norton Antivirus, Pictory, RunwayML et d’autres applications légitimes. Un leurre a même été conçu pour apparaître comme résultats d’IRM.
Lorsqu’il est ouvert, le fichier malveillant peut afficher un contenu convaincant correspondant à l’histoire de l’attaquant tout en s’installant CHOSEN BRICK secrètement en arrière-plan.
Le malware établit une persistance sur Windows afin de pouvoir continuer à fonctionner après le redémarrage de l’ordinateur. Les enquêteurs ont également observé des tentatives de création d’exclusions Microsoft Defender pour certains fichiers et dossiers, réduisant ainsi la probabilité que le malware soit détecté.
Une fois active, elle CHOSEN BRICK offre des capacités de surveillance étendues. Les attaquants peuvent capturer des captures d’écran, collecter fichiers et e-mails, activer le microphone de l’ordinateur et obtenir des informations associées aux sessions Telegram et WhatsApp accessibles via les navigateurs web.
Le malware peut également télécharger des fichiers supplémentaires et recevoir des instructions à distance. Les bots Telegram font partie de son infrastructure de commandement et contrôle, permettant aux ordinateurs infectés de communiquer avec les systèmes contrôlés par les attaquants. Certaines versions contiennent également des fonctionnalités destructrices, notamment la possibilité de supprimer des fichiers.
Les autorités avertissent que les informations collectées peuvent révéler bien plus que des mots de passe ou des documents. Les messages, contacts, captures d’écran et autres données peuvent révéler des relations, des mouvements et des routines quotidiennes.
Des informations volées à certaines victimes précédentes sont ensuite apparues sur des sites de fuites pro-iraniens, selon les agences.
Les opérateurs peuvent également s’adapter lorsque la sécurité de l’entreprise interfère avec une attaque. Si la compromission d’un ordinateur de travail s’avère difficile, les enquêteurs estiment que les cibles peuvent être encouragées à poursuivre la conversation ou à ouvrir des fichiers sur des appareils personnels.
Toutes les infections observées CHOSEN BRICK décrites dans l’avis ont ciblé Windows. Les agences ont publié des indicateurs techniques et des directives d’atténuation pour aider les cibles potentielles et les équipes de sécurité à identifier les infections et à réduire le risque de compromission.