Des agences gouvernementales de cybersécurité des États-Unis, du Royaume-Uni et des Pays-Bas ont conjointement exposé un logiciel malveillant de surveillance parrainé par l'État iranien connu sous le nom de Chosen Brick. L'avis, publié par le FBI aux côtés du National Cyber Security Centre (NCSC) britannique et du Service général de renseignement et de sécurité (AIVD) néerlandais, avertit que ce logiciel malveillant est activement utilisé pour espionner des dissidents, des journalistes et des activistes liés à l'Iran.

Cette divulgation conjointe marque un moment rare d'attribution publique coordonnée contre une opération de renseignement iranienne, et elle offre un aperçu de la manière dont les gouvernements autoritaires étendent la surveillance bien au-delà de leurs propres frontières.

Qu'est-ce que Chosen Brick et comment opère-t-il

Chosen Brick, également référencé sous l'alias HEAVYGRAM dans des recherches connexes, est une souche de logiciel malveillant pour Windows attribuée à des acteurs liés au ministère du Renseignement et de la Sécurité (MOIS) iranien. Plutôt que de s'appuyer sur de vastes campagnes d'hameçonnage automatisées, la campagne derrière Chosen Brick semble être construite autour d'approches ciblées et personnalisées envers des individus spécifiques que l'État iranien considère comme des menaces.

Selon les avis, le logiciel malveillant a été distribué via des plateformes de messagerie populaires, notamment WhatsApp et Telegram, des applications largement utilisées par les communautés de la diaspora, les activistes et les journalistes pour communiquer en toute sécurité et rester en contact avec des contacts à l'intérieur de l'Iran. En intégrant des charges utiles ou des liens malveillants dans ces canaux de communication de confiance, les opérateurs augmentent les chances qu'une cible ouvre un fichier ou clique sur un lien qu'elle croit provenir d'un contact connu.

Une fois installé sur un appareil Windows, ce type de logiciel malveillant est généralement capable de collecter des données, de surveiller les communications et de fournir aux attaquants un point d'ancrage pour une surveillance continue. La nature coordonnée de cet avis, couvrant trois agences de sécurité nationale distinctes, souligne le sérieux avec lequel les gouvernements occidentaux traitent la menace que cette campagne représente pour des individus vivant bien au-delà de la portée physique de l'Iran.

Qui est ciblé : dissidents, journalistes et communautés de la diaspora

L'avis nomme spécifiquement les dissidents, les activistes et les journalistes comme cibles principales de la campagne Chosen Brick. Cela correspond à un schéma bien documenté parmi les États autoritaires : plutôt que de limiter la surveillance aux critiques domestiques, les services de renseignement étendent leur portée aux populations de la diaspora, aux journalistes exilés et aux défenseurs des droits humains opérant depuis l'étranger.

Pour ces communautés, les enjeux d'un appareil compromis vont bien au-delà des mots de passe volés ou de la fraude financière. Une infection réussie peut exposer des contacts sensibles, révéler des sources et mettre des membres de la famille vivant encore en Iran en danger de représailles. C'est précisément pourquoi les individus ciblés par des campagnes comme Chosen Brick s'appuient souvent tant sur des applications de messagerie chiffrées telles que WhatsApp et Telegram, et pourquoi les attaquants ont adapté leurs tactiques pour exploiter cette confiance.

L'utilisation de ressources étatiques pour cibler des individus spécifiques, plutôt que de jeter un large filet à des fins de gain financier, distingue cette campagne de la plupart de la cybercriminalité. Elle reflète une opération à motivation géopolitique dont l'objectif principal est la collecte de renseignements, un schéma observé dans toute la région où l'activité de ransomware au Moyen-Orient a également de plus en plus suivi les tensions politiques plutôt qu'un ciblage purement opportuniste.

Pourquoi un VPN seul n'arrêtera pas un logiciel malveillant parrainé par un État

Un VPN chiffre votre trafic internet et masque votre adresse IP, ce qui est précieux pour protéger la confidentialité générale de la navigation et échapper à la surveillance ou à la censure au niveau du réseau. Mais il ne fait rien pour arrêter un logiciel malveillant une fois qu'il a été livré directement à un appareil via une application de messagerie, un fichier malveillant ou un lien compromis.

Chosen Brick illustre clairement cette limitation. Si une cible ouvre un fichier infecté envoyé via WhatsApp ou Telegram, un VPN fonctionnant en arrière-plan ne détectera pas la charge utile malveillante, n'empêchera pas son exécution et ne l'arrêtera pas dans la collecte de données déjà stockées sur l'appareil. Les opérations parrainées par un État comme celle-ci sont spécifiquement conçues pour contourner l'hypothèse selon laquelle la messagerie chiffrée ou les outils de confidentialité réseau suffisent à eux seuls à assurer la sécurité.

Cela ne signifie pas qu'un VPN est inutile. Il reste une couche importante pour protéger les métadonnées et les informations de localisation. Mais pour toute personne confrontée à une menace de niveau étatique, il doit être traité comme un élément d'une stratégie de sécurité beaucoup plus large.

Étapes de défense pratiques pour les individus à risque

Pour les journalistes, les activistes et les membres des communautés de la diaspora qui peuvent être des cibles réalistes de la surveillance étatique, les défenses en couches importent plus que tout outil unique. Considérez ce qui suit :

  • Maintenez les systèmes d'exploitation et les applications de messagerie à jour, car les correctifs comblent souvent les vulnérabilités exactes que des logiciels malveillants comme Chosen Brick exploitent.
  • Évitez d'ouvrir des fichiers ou des liens inattendus, même de contacts connus, et vérifiez les demandes inhabituelles via un canal de communication séparé.
  • Utilisez la compartimentation des appareils, en gardant le travail sensible sur un appareil séparé de l'usage personnel quotidien lorsque c'est possible.
  • Activez les fonctionnalités de sécurité au niveau des applications telles que l'authentification à deux facteurs et les messages éphémères sur des plateformes comme Telegram et WhatsApp.
  • Exécutez des outils réputés de sécurité des terminaux ou de détection des menaces mobiles conçus pour détecter les comportements de logiciels espions, et pas seulement les virus traditionnels.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont probablement pas des cibles directes d'un service de renseignement. Mais la divulgation de Chosen Brick est un rappel utile que les logiciels malveillants de surveillance arrivent de plus en plus par les applications auxquelles les gens font le plus confiance, et non par des canaux manifestement suspects. Quiconque communique avec des contacts à l'étranger, travaille dans le journalisme ou l'activisme, ou traite des informations sensibles devrait supposer que les plateformes de confiance peuvent encore être exploitées comme vecteurs de livraison.

La leçon plus large s'étend au-delà de l'Iran spécifiquement. Les opérations cyber liées à des États, qu'il s'agisse de campagnes axées sur la surveillance comme Chosen Brick ou des opérations de ransomware affectant de plus en plus la région au sens large, sont façonnées par la géopolitique autant que par l'opportunité. Comprendre ce contexte aide à expliquer pourquoi certains individus et organisations font face à des menaces persistantes et ciblées plutôt qu'à une cybercriminalité générique.

Points clés à retenir

Si vous ou quelqu'un que vous connaissez pouvez être exposé à un risque élevé en raison du journalisme, de l'activisme ou de liens avec la diaspora d'une région connaissant ce type de ciblage parrainé par un État, traitez votre VPN comme une couche parmi d'autres, et non comme une solution complète. Maintenez les appareils à jour, examinez attentivement les fichiers et liens inattendus même provenant de contacts de confiance, séparez le travail sensible de l'usage personnel lorsque c'est faisable, et envisagez une protection dédiée des terminaux conçue pour détecter les comportements de logiciels espions. Rester informé des divulgations comme l'avis Chosen Brick est en soi une forme de défense : savoir comment ces campagnes opèrent permet de reconnaître plus facilement les signes d'alerte avant qu'un appareil ne soit compromis.