Les agences de cybersécurité britannique, américaine et néerlandaise ont dévoilé CHOSEN BRICK, un logiciel espion Windows attribué à des acteurs liés à l’État iranien. La campagne cible des dissidents, militants et journalistes en gagnant leur confiance sur des messageries, parfois avec de faux résultats d’IRM conçus pour les pousser à ouvrir un fichier piégé. L’alerte commune vient du National Cyber Security Centre britannique, du FBI et du service de renseignement néerlandais AIVD. Selon ces organismes, les attaquants se font passer pour un contact crédible sur WhatsApp ou Telegram, entretiennent la conversation puis adaptent leur scénario aux centres d’intérêt de la personne visée.
De faux documents médicaux pour installer le logiciel espion
Le recours à de prétendus résultats d’imagerie médicale illustre le niveau de personnalisation de l’opération. Un document présenté comme sensible ou urgent peut susciter une réaction rapide, surtout lorsqu’il arrive après plusieurs échanges apparemment normaux. Le piège repose donc d’abord sur l’ingénierie sociale, pas sur une attaque technique automatique contre la messagerie.
La victime doit télécharger et exécuter le contenu malveillant sur un PC Windows. Une fois installé, CHOSEN BRICK devient persistant : il reste actif après le redémarrage de la machine. Les agences n’ont signalé aucune version visant macOS, Android ou iOS dans l’avis publié le 15 septembre.
Messages, captures d’écran et microphone
Le logiciel peut récupérer des contacts, des e-mails, des messages de réseaux sociaux et l’historique des conversations. Il sait aussi capturer le contenu affiché à l’écran et accéder au microphone. Ces fonctions permettent de reconstruire le réseau relationnel d’une cible, de suivre ses échanges et potentiellement de localiser ses activités à partir d’informations collectées sur l’appareil.
Des données personnelles volées lors de précédentes intrusions ont ensuite été publiées sur des sites de fuite favorables à l’Iran, indique le NCSC britannique. Au-delà de la confidentialité numérique, cette exposition peut donc créer un risque physique pour les victimes et leurs proches.
Une opération associée à la répression transnationale
Le NCSC estime avec un degré de confiance très élevé que l’Iran utilise des opérations cyber pour surveiller et réprimer des personnes considérées comme une menace pour le régime. L’attribution porte sur les acteurs de la campagne et leurs liens avec l’État iranien ; elle ne prouve pas que chaque tentative ait été directement pilotée au cas par cas par un responsable gouvernemental.
L’avis vise des personnes établies au Royaume-Uni, aux États-Unis, aux Pays-Bas et dans d’autres pays. Il complète les alertes consacrées à la répression transnationale, où des moyens numériques servent à prolonger hors des frontières la surveillance exercée contre des opposants. Les agences n’ont pas communiqué de nombre de victimes ni de bilan des infections réussies.
Ce mode opératoire diffère des campagnes opportunistes qui diffusent le même lien à grande échelle. Nous avons récemment parlé de publicités piégées utilisant la technique ClickFix ; CHOSEN BRICK repose au contraire sur une relation préparée et un document choisi pour une cible précise.
Les mesures recommandées aux personnes exposées
Les trois agences conseillent aux personnes à risque de vérifier par un autre canal l’identité d’un interlocuteur qui envoie un fichier inattendu, même si son compte semble authentique. Elles recommandent aussi de maintenir Windows et les logiciels de sécurité à jour, d’activer l’authentification multifacteur et de faire analyser tout appareil suspect avant de reprendre des échanges sensibles.
Le FBI a publié le 15 septembre une analyse technique séparée contenant des indicateurs de compromission destinés aux équipes de sécurité. Le NCSC propose également des services gratuits de protection pour les personnes considérées comme particulièrement exposées ; l’avis précise que CHOSEN BRICK survit au redémarrage, ce qui rend une simple extinction de l’ordinateur insuffisante pour l’éliminer.
