Le Royaume-Uni, les États-Unis et les Pays-Bas publient un avis de cybersécurité conjoint détaillant un spyware portant le nom de Chosen Break. Il est utilisé par des acteurs liés à l’État iranien.
La campagne d’attaque vise spécifiquement les dissidents, les activistes et les journalistes considérés comme une menace pour le régime.
Comment les attaquants parviennent-ils à tromper leurs cibles ?
La méthode d’attaque repose principalement sur des techniques d’ingénierie sociale très personnalisées.
Les attaquants contactent leurs cibles sur des messageries comme WhatsApp ou Telegram, se faisant passer pour des contacts de confiance ou un support technique. Ils établissent un rapport avant de convaincre la victime de télécharger un fichier malveillant.
Ces fichiers sont déguisés en applications légitimes populaires telles que Norton Antivirus, le gestionnaire de mots de passe KeePass, ou des outils de création vidéo comme Pictory.
Dans certains cas particulièrement élaborés, les attaquants ont même utilisé de faux résultats d’IRM pour inciter les victimes à télécharger le malware, qui s’installe discrètement sur les appareils équipés de Windows.
Quelles sont les capacités de ce spyware ?
Une fois installé sur un appareil, Chosen Brick offre une gamme étendue de fonctionnalités de surveillance.
Il peut collecter des informations sur les contacts, les e-mails, et les messages sur les réseaux sociaux. L’agence de cybersécurité britannique précise que le malware peut également capturer le contenu de l’écran et accéder au micro de l’appareil.
Le contrôle s’effectue à distance via des bots Telegram, chaque victime étant assignée à un bot unique.
Le malware est persistant et survit aux redémarrages du système grâce à une clé de registre, tout en tentant d’échapper à la détection en ajoutant des exclusions à l’antivirus Microsoft Defender.
Des risques pour l’intégrité physique des victimes
Le FBI indique que le ministère iranien du Renseignement et de la Sécurité a utilisé le malware pour recueillir des renseignements, mener des fuites de données et nuire à la réputation des cibles.
Les agences de sécurité avertissent que les détails personnels de certaines victimes ont déjà été publiés sur des sites de fuite pro-iraniens. Une exposition qui augmente potentiellement le risque pour la sécurité personnelle des personnes touchées.