Les agences de sécurité aux États-Unis, au Royaume-Uni et aux Pays-Bas ont révélé une campagne d’espionnage cybernétique iranienne qui utilise des attaques d’ingénierie sociale soigneusement préparées pour espionner des dissidents, des militants et des journalistes.
L’opération repose sur un malware Windows connu sous le nom de CHOSEN BRICK. Le FBI suit les malwares de la même famille que HEAVYGRAM et a lié son utilisation au ministère iranien du Renseignement et de la Sécurité.
Plutôt que d’envoyer immédiatement des pièces jointes suspectes aux victimes potentielles, les attaquants enquêtent sur leurs cibles et tentent de gagner leur confiance. Ils contactent les gens via des services de messagerie tels que Telegram et WhatsApp en prétendant être des contacts connus ou des représentants du support technique.
Les conversations peuvent se poursuivre pendant que les attaquants gagnent en crédibilité avant d’introduire un fichier malveillant. Le fichier est conçu pour correspondre à l’histoire utilisée dans la conversation, rendant la requête plus convaincante.
Certaines victimes se sont vu proposer des applications déguisées en logiciels légitimes, notamment Telegram, KeePass, Norton Antivirus, Pictory et RunwayML. Dans un cas particulièrement inhabituel, les attaquants ont présenté un fichier malveillant comme résultats d’IRM.
Ouvrir le fichier affiche le contenu destiné à maintenir la tromperie pendant que des logiciels malveillants sont installés en arrière-plan.
Les enquêteurs n’ont observé que CHOSEN BRICK ciblant les systèmes Windows. Une fois installé, il peut établir une persistance afin de continuer à fonctionner après le redémarrage de l’ordinateur.
Telegram joue également un autre rôle après l’infection. Le malware peut communiquer avec des bots Telegram contrôlés par les attaquants, permettant aux commandes et aux informations volées de circuler dans le service. Les enquêteurs ont découvert que les victimes individuelles pouvaient se voir attribuer des identifiants distincts de bots Telegram.
CHOSEN BRICK offre des capacités de surveillance étendues. Il peut capturer des captures d’écran, activer le microphone d’un ordinateur, collecter des e-mails et fichiers, et obtenir des données Telegram et WhatsApp stockées via des navigateurs web. Les attaquants peuvent également recueillir des informations sur les processus en cours de cours et le système infecté.
Le malware est capable de télécharger des fichiers malveillants supplémentaires et de supprimer des informations. Au moins une version analysée contenait également des fonctionnalités permettant d’effacer les données de l’ordinateur.
Les autorités ont averti que les informations collectées peuvent révéler bien plus que les identifiants de compte. Les captures d’écran, les communications et autres données volées peuvent révéler les contacts, les déplacements et les routines quotidiennes d’une personne.
Certaines informations obtenues auprès des victimes précédentes sont ensuite apparues sur des sites web pro-iraniens spécialisés dans les fuites, selon l’avis conjoint.
Les attaquants ont également manifesté un intérêt à contourner la sécurité au travail. Lorsque les tentatives de compromission d’un ordinateur d’entreprise échouent ou semblent susceptibles de déclencher des contrôles de sécurité, ils peuvent encourager la cible à poursuivre l’interaction sur un appareil personnel.
Les autorités britanniques estiment que l’Iran utilise « presque certainement » des opérations cyber pour soutenir des actions contre des individus qu’il considère comme des menaces. Le FBI affirme également que des acteurs travaillant pour le compte du ministère iranien du renseignement utilisent probablement ce malware pour la collecte de renseignements, les fuites de données et le préjudice à la réputation.
Le nouvel avis publié vise à aider les cibles potentielles et les équipes de sécurité à reconnaître la campagne. SELECTED BRICK reste une préoccupation active, les autorités avertissant que sa combinaison d’ingénierie sociale personnalisée et de surveillance persistante des dispositifs peut mettre en danger à la fois les individus ciblés et les personnes qui y sont liées.