Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Iranian hackers use CHOSEN BRICK Windows malware to spy on targets

1 minute de lecture

Mis à jour :

Espionnage étatique : La menace du malware CHOSEN BRICK

Des hackers liés à l’État iranien déploient le malware CHOSEN BRICK pour cibler des journalistes, des activistes et des dissidents, principalement aux États-Unis, au Royaume-Uni et aux Pays-Bas. Cette campagne d’espionnage vise à harceler les opposants au régime, allant parfois jusqu’à faciliter des opérations de répression physique à l’international.

Points clés :

  • Vecteur d’attaque : Ingénierie sociale via WhatsApp ou Telegram, où les attaquants se font passer pour des contacts de confiance ou un support technique.
  • Techniques de dissimulation : Les fichiers malveillants imitent des applications légitimes (Norton, Telegram, Adobe, etc.) ou utilisent des documents médicaux leurres pour inciter à l’exécution.
  • Persistance et évasion : Le malware utilise les clés de registre Windows (Run keys) pour persister et ajoute des exclusions à Microsoft Defender pour éviter la détection.
  • Command & Control (C2) : Utilisation de bots Telegram personnalisés et de proxies SOCKS5 pour piloter l’infection et exfiltrer les données via des services cloud (Vultr, StorjShare).

Vulnérabilités :

  • Aucune CVE spécifique n’est mentionnée, le malware exploitant l’interaction humaine (ingénierie sociale) et l’exécution de logiciels non vérifiés.

Capacités du malware :

  • Collecte de données système, captures d’écran et enregistrement audio.
  • Vol de contenu d’e-mails et de données de messageries (Telegram, WhatsApp).
  • Téléchargement de charges utiles additionnelles, suppression de fichiers et capacité de réinitialisation complète du système hôte.

Recommandations :

  • Surveillance système : Inspecter régulièrement les entrées de registre Run à la recherche d’éléments suspects.
  • Analyse réseau : Surveiller et enquêter sur toute connexion sortante inhabituelle vers l’API Telegram, Backblaze B2, VultrObjects, StorjShare ou des services de proxy comme IPRoyal et LightningProxies.
  • Hygiène numérique : Sensibiliser les utilisateurs aux risques de l’ingénierie sociale, particulièrement lorsqu’ils sont invités à exécuter des applications sur des appareils personnels pour contourner des politiques de sécurité.
  • Consultation des avis officiels : Se référer à l’avis conjoint publié par le NCSC (Royaume-Uni) et le FBI pour obtenir la liste complète des indicateurs de compromission (IoCs).

Source

Vous pourriez aimer