CHOSEN BRICK transforme des échanges de confiance en canal de surveillance pour des opérateurs iraniens

Une alerte conjointe des agences américaines, britanniques et néerlandaises a révélé l’existence de CHOSEN BRICK, une famille de malwares Windows utilisée par des opérateurs liés à l’État iranien pour surveiller des dissidents, des militants et des journalistes dans le monde entier.

Les informations publiées le 16 septembre 2026 décrivent une campagne active depuis au moins 2025. Plutôt que d’exploiter une vulnérabilité logicielle, les opérateurs manipulent leurs victimes via WhatsApp et Telegram, en usurpant l’identité de contacts de confiance ou de membres du support technique avant de leur transmettre des fichiers malveillants.

Une fois installé, CHOSEN BRICK peut dérober des communications, effectuer des captures d’écran, enregistrer le son du microphone, déployer d’autres malwares et détruire des données. Les conséquences peuvent dépasser le cadre de l’ordinateur compromis : des informations volées sont apparues sur des sites de fuite de données pro-iraniens et pourraient faciliter le harcèlement, le suivi ou le ciblage physique des victimes.

Les attaquants délaissent les protections des entreprises pour cibler les appareils personnels

L’opération commence par une phase de reconnaissance et un contact direct. Les attaquants approchent leurs victimes potentielles via WhatsApp ou Telegram, en utilisant des identités conçues pour rendre crédible l’envoi inattendu d’un fichier.

Ils peuvent se faire passer pour des connaissances, des contacts de confiance ou des représentants du support technique. L’objectif n’est pas seulement d’obtenir un clic, mais d’instaurer une confiance suffisante pour que la cible lance une application ou ouvre un document présenté comme légitime.

Les leurres observés usurpaient notamment l’identité de :

• Pictory.
• RunwayML.
• Norton Antivirus.
• Telegram.
• Adobe Flash Player.
• KeePass.
• Documents médicaux, notamment de prétendus résultats d’IRM.

Le fichier malveillant affiche une interface correspondant à l’application ou au document annoncé. Pendant ce temps, CHOSEN BRICK s’installe et commence à fonctionner en arrière-plan. Ce leurre réduit le risque que les victimes détectent la compromission et la signalent immédiatement.

Les opérateurs adaptent également leur approche lorsque les protections de l’entreprise interviennent. Le contact peut commencer sur un appareil professionnel, mais si les contrôles de sécurité bloquent l’exécution, l’attaquant tente de déplacer l’échange vers l’ordinateur Windows personnel de la victime.

Cette évolution crée une faille défensive importante. Les systèmes personnels peuvent ne pas disposer de mécanismes d’autorisation des applications, de journaux centralisés, de solutions de détection sur les terminaux ou du niveau de supervision disponible sur les équipements professionnels administrés. Une pièce jointe bloquée ne peut donc pas être considérée par l’organisation comme la fin de l’incident.

La persistance via le Registre et les exclusions de Defender maintiennent l’implant en fonctionnement

Toutes les infections par CHOSEN BRICK observées concernaient Microsoft Windows, selon le rapport conjoint des agences sur la campagne. Les versions exactes de Windows touchées n’ont pas été communiquées.

Après son exécution, le malware assure sa persistance au moyen des clés Run du Registre Windows, ce qui lui permet de redémarrer lorsque l’utilisateur ouvre une session ou que l’ordinateur redémarre. Les défenseurs doivent donc examiner les emplacements Run à la recherche de valeurs récemment créées pointant vers des exécutables inhabituels, des répertoires accessibles en écriture par l’utilisateur ou des chemins système inattendus.

CHOSEN BRICK ajoute également des exclusions à Microsoft Defender. Ces modifications peuvent empêcher l’antivirus local d’analyser certains fichiers, dossiers, processus ou emplacements utilisés par le malware.

Une exclusion de Defender n’est pas intrinsèquement malveillante, car les administrateurs et les applications légitimes peuvent parfois en créer. Le contexte est déterminant. Une nouvelle exclusion devient nettement plus suspecte lorsqu’elle apparaît en même temps qu’un programme d’installation récemment téléchargé, une conversation de messagerie non sollicitée ou une nouvelle entrée Run dans le Registre.

Le malware connecte ensuite le terminal infecté à une infrastructure de commande et de contrôle reposant sur Telegram. Chaque infection recevrait un bot Telegram ou un identifiant de bot unique associé à la victime concernée. Cette séparation aide les opérateurs à gérer les cibles individuellement et réduit le risque de mélange des commandes ou des données volées entre plusieurs opérations.

Aucune capacité automatisée de déplacement latéral n’a été signalée. CHOSEN BRICK peut toutefois récupérer d’autres charges utiles, ce qui permet aux opérateurs d’étendre manuellement leur accès après l’infection initiale.

Telegram, le stockage cloud et les proxys SOCKS5 transportent le trafic

Telegram joue deux rôles dans la campagne : il sert de canal initial d’ingénierie sociale et fait partie de l’infrastructure de commande et de contrôle du malware. Celui-ci peut également l’utiliser pour transférer les données collectées.

L’infrastructure supplémentaire d’exfiltration et d’exploitation comprend :

• Backblaze B2.
• VultrObjects.
• StorjShare.
• IPRoyal.
• LightningProxies.
• L’API Telegram.

Les variantes plus récentes de CHOSEN BRICK feraient transiter les connexions par des proxys SOCKS5, masquant ainsi le lien direct entre un terminal infecté et les activités contrôlées par les attaquants.

À eux seuls, les accès à ces services ne suffisent pas à établir l’existence d’une infection. Plusieurs d’entre eux fournissent des services légitimes de stockage cloud ou de réseau. Les défenseurs doivent les mettre en corrélation avec des éléments observés sur le terminal, tels qu’une persistance suspecte, la création d’archives, l’accès à des bases de données de navigateur, la capture d’écran, l’utilisation du microphone ou la lecture inhabituelle de fichiers.

Le trafic vers l’infrastructure Telegram mérite une attention particulière sur les systèmes dont les utilisateurs n’ont normalement pas besoin. Les équipes de sécurité doivent également rechercher des communications pilotées par des bots et des connexions sortantes chiffrées répétées qui commencent peu après le lancement d’un exécutable inconnu.

La destination signalée pour les charges utiles secondaires est :

C:\Windows \SysWOW64

Le chemin publié contient un espace entre Windows et \SysWOW64. Les enquêteurs doivent conserver cette chaîne exactement telle quelle, tout en déterminant si cet espacement correspond à un indicateur réel du système de fichiers ou à une erreur de mise en forme. Les recherches doivent tenir compte des deux possibilités plutôt que de normaliser silencieusement le chemin.

La surveillance peut se transformer en destruction de données

CHOSEN BRICK associe la collecte de renseignements à des fonctionnalités perturbatrices. Ses capacités signalées comprennent la collecte d’informations sur le système, l’énumération des processus, la prise de captures d’écran et l’enregistrement audio via le microphone de l’ordinateur.

Il peut également cibler les communications stockées par les navigateurs, notamment :

• Le contenu des e-mails.
• Les données de Telegram dans le navigateur.
• Les données de WhatsApp dans le navigateur.
• D’autres informations de communication stockées par les navigateurs.

Le malware peut télécharger et exécuter des charges utiles secondaires, offrant aux opérateurs un moyen d’introduire des fonctionnalités absentes de l’implant initial. Une détection initiale ne doit donc pas se limiter aux artefacts de CHOSEN BRICK ; les équipes d’intervention doivent également rechercher les outils et commandes déployés ultérieurement.

Les options destructrices comprennent la suppression de fichiers, l’exécution de commandes de suppression de données et l’effacement complet de l’hôte infecté. Aucun score CVSS n’a été communiqué, car il s’agit d’une campagne de malware et non d’une vulnérabilité associée à un CVE.

La menace est particulièrement grave, car les éléments collectés peuvent mettre en danger la sécurité physique des victimes. Dans certains cas, les services de renseignement iraniens auraient planifié des enlèvements ou des opérations meurtrières contre des opposants présumés au régime à l’étranger. Les informations extraites d’un appareil pourraient révéler des lieux, des relations personnelles, des communications, des déplacements ou l’identité d’autres personnes exposées.

Des informations personnelles volées ont également été publiées sur des sites de fuite de données pro-iraniens, apparemment afin d’intimider et de harceler les victimes. Pour les cibles politiquement exposées, la réponse à incident doit donc prendre en compte bien davantage que la restauration de l’ordinateur.

La détection doit corréler les éléments issus de la messagerie, des terminaux et du réseau

Les équipes de sécurité doivent commencer par examiner les emplacements Run du Registre Windows et les exclusions de Microsoft Defender. Les entrées nouvellement créées doivent être mises en corrélation avec l’activité de messagerie, les téléchargements de fichiers, les ouvertures de session des utilisateurs et l’exécution de processus.

La supervision réseau doit rechercher des accès inattendus à l’API Telegram, à Backblaze B2, à VultrObjects, à StorjShare, à IPRoyal et à LightningProxies. Les analystes doivent enquêter sur l’utilisation de SOCKS5 depuis des terminaux ne disposant d’aucun besoin professionnel documenté.

Les priorités utiles pour la détection sur les terminaux comprennent :

• L’accès inhabituel au microphone.
• La capture automatisée de captures d’écran.
• L’accès aux bases de données des navigateurs ou aux espaces de stockage des communications.
• L’énumération des processus par un binaire inconnu.
• Les téléchargements dans des répertoires système Windows.
• Les processus enfants suspects lancés par des applications récemment téléchargées.
• Les commandes qui suppriment des fichiers ou préparent un hôte à être effacé.
• Les exclusions de Defender couvrant des répertoires accessibles en écriture par l’utilisateur ou utilisés pour le stockage temporaire.

Les enquêteurs doivent comparer, lorsque cela est possible, les chronologies des appareils professionnels et personnels. Le schéma consistant à bloquer une transmission sur un système administré, puis à demander à la victime de poursuivre la conversation sur un appareil personnel, est particulièrement révélateur.

Les organisations doivent également récupérer les indicateurs supplémentaires publiés avec l’alerte conjointe et les appliquer aux données de télémétrie des terminaux, des pare-feu, des proxys, du DNS, du cloud et des systèmes d’identité. Les noms d’infrastructure rendus publics constituent des points de départ, et non un ensemble complet d’éléments de détection.

La réponse doit protéger les systèmes comme les personnes

Les victimes potentielles ne doivent pas lancer de programmes d’installation ni ouvrir de fichiers médicaux transmis dans le cadre de conversations WhatsApp ou Telegram non sollicitées, même lorsque l’expéditeur semble familier. La vérification doit passer par un autre canal de communication, connu et fiable.

Les organisations qui accompagnent des journalistes, des militants et des dissidents doivent mettre en place des contrôles d’exécution afin de bloquer les programmes d’installation et utilitaires non approuvés. Les personnes particulièrement exposées doivent bénéficier d’une protection équivalente sur leurs appareils personnels lorsque ceux-ci sont utilisés dans le cadre d’échanges professionnels ou sensibles.

En cas d’infection présumée, les équipes d’intervention doivent :

1. Préserver les éléments forensiques avant de supprimer des fichiers ou de modifier la persistance.
2. Isoler le terminal concerné à l’aide d’une méthode qui n’alerte pas inutilement l’opérateur.
3. Examiner les entrées Run du Registre et les exclusions de Defender.
4. Identifier les communications avec Telegram, les services de stockage cloud et les proxys.
5. Rechercher les charges utiles secondaires et les commandes destructrices.
6. Réinitialiser les identifiants exposés depuis un appareil dont l’intégrité est connue.
7. Reconstruire les systèmes compromis lorsque leur intégrité ne peut pas être établie.
8. Restaurer les données uniquement à partir de sauvegardes testées et protégées.

La planification de la réponse doit prévoir des communications sécurisées en dehors de l’appareil concerné. Lorsqu’une victime est exposée à un danger politique ou physique, les organisations peuvent également devoir se coordonner avec les autorités compétentes et des spécialistes de la sécurité personnelle.

CHOSEN BRICK n’est pas un simple voleur d’identifiants. La combinaison signalée de surveillance, de diffusion de charges utiles et d’effacement de l’hôte offre à ses opérateurs des moyens de collecte de renseignements et de coercition, ce qui rend indispensable une enquête rapide et discrète.