Iranian hackers use CHOSEN BRICK Windows malware to spy on targets

Espionnage étatique via le malware CHOSEN BRICK

Des groupes de pirates liés au gouvernement iranien utilisent le malware CHOSEN BRICK pour cibler des dissidents, des activistes et des journalistes, principalement aux États-Unis, au Royaume-Uni et aux Pays-Bas. Cette campagne d’espionnage vise à surveiller, harceler, voire menacer physiquement les opposants au régime.

Points clés :

• Vecteur d’attaque : Ingénierie sociale via Telegram et WhatsApp. Les attaquants usurpent l’identité de contacts de confiance ou de supports techniques pour inciter les victimes à installer des logiciels piégés (se faisant passer pour des applications légitimes comme Norton, KeePass ou des outils de retouche).
• Fonctionnement : Une fois installé, le malware se maintient via des clés de registre Windows et s’auto-protège en ajoutant des exclusions à Microsoft Defender. Il utilise Telegram comme centre de commande et de contrôle (C2) et exfiltre les données via des services cloud ou des proxys SOCKS5.
• Capacités : Vol d’e-mails, de données de messagerie (Telegram/WhatsApp), captures d’écran, enregistrement audio, exécution de commandes à distance et destruction totale du système hôte.

Vulnérabilités :

• Aucune CVE spécifique n’est mentionnée ; l’exploitation repose sur l’installation manuelle par la victime (tromperie) et la persistance par manipulation du registre Windows.

Recommandations :

• Surveillance : Inspecter régulièrement les clés de registre de démarrage (Registry Run keys) à la recherche d’entrées suspectes.
• Analyse réseau : Bloquer ou surveiller les connexions inhabituelles vers l’API Telegram, Backblaze B2, VultrObjects, StorjShare, IPRoyal et LightningProxies.
• Vigilance humaine : Se méfier des fichiers reçus via messagerie, même s’ils semblent provenir de contacts connus. Éviter d’exécuter des applications sur des postes personnels pour “contourner des restrictions professionnelles”.
• Indicateurs : Consulter l’avis conjoint du NCSC et du FBI pour obtenir la liste complète des indicateurs de compromission (IoCs).

Source