CHOSEN BRICK : un malware iranien qui cible dissidents et journalistes

Le 16 septembre 2026, les agences de cybersécurité des États-Unis, du Royaume-Uni et des Pays-Bas ont publié, avec le FBI, un avis commun consacré à un logiciel espion Windows baptisé CHOSEN BRICK. Il est attribué à des acteurs liés à l’État iranien, et ses cibles ne sont pas des entreprises : ce sont des dissidents, des militants et des journalistes, dans le monde entier mais principalement dans ces trois pays. Les faits rapportés ici proviennent de l’article de Bleeping Computer consacré à cet avis.

Une conversation privée, puis un fichier à ouvrir

L’attaque commence par un message sur WhatsApp ou Telegram. L’expéditeur se fait passer pour un contact de confiance ou pour un agent de support technique, et amène la personne visée à ouvrir un fichier présenté comme une application légitime. Les appâts relevés par les agences empruntent le nom d’outils courants : Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player ou KeePass. Selon le prétexte employé, des leurres à caractère médical ont également été observés.

Un détail du mode opératoire mérite d’être signalé, parce qu’il vise précisément les personnes protégées par leur employeur : les attaquants suggèrent souvent d’ouvrir le fichier sur un appareil personnel, pour contourner les blocages de sécurité du poste professionnel. L’application affiche alors une interface conforme à ce qui a été promis, pendant que CHOSEN BRICK s’installe en arrière-plan et assure sa persistance par les clés Run du registre Windows.

Ce que le programme collecte

Une fois en place, le logiciel ajoute des exclusions à Microsoft Defender pour échapper à la détection, puis se connecte à un bot Telegram unique, propre à l’identifiant de la victime, qui lui sert de canal de commande et de contrôle.

Ses capacités, telles que listées dans l’avis, couvrent l’essentiel de ce qu’une personne fait sur sa machine : collecte d’informations système, énumération des processus en cours, captures d’écran, enregistrement audio par le microphone, vol du contenu des courriels et des données de navigation Telegram et WhatsApp. Il sait aussi télécharger des charges supplémentaires dans un répertoire imitant C:\Windows\SysWOW64, supprimer des fichiers et effacer entièrement le système hôte.

L’exfiltration passe par Telegram ou par des services de stockage en ligne comme VultrObjects et StorjShare. Les variantes les plus récentes font transiter leur trafic par des proxys SOCKS5 pour dissimuler l’activité.

Le vol ne s’arrête pas au vol

C’est la partie de l’avis qui change la nature du problème. Les données dérobées se retrouvent parfois sur des sites de fuite pro-iraniens, ce qui constitue en soi une forme de harcèlement et augmente le risque physique encouru par les dissidents installés à l’étranger. Les agences rappellent dans leur avis que les services de renseignement iraniens ont, dans certains cas, projeté des enlèvements ou des opérations létales à l’international contre des personnes perçues comme des ennemies du régime.

Les vérifications recommandées

Les personnes et les organisations qui se estiment exposées sont invitées à inspecter les entrées Run du registre à la recherche de valeurs suspectes, et à rechercher dans leurs journaux les indicateurs de compromission publiés avec l’avis.

Côté réseau, les agences signalent plusieurs destinations à traiter comme suspectes lorsqu’une connexion vers elles n’est pas attendue : l’API de Telegram, Backblaze B2, VultrObjects, StorjShare, IPRoyal et LightningProxies.

La recommandation la plus utile tient pourtant dans le scénario d’entrée : un interlocuteur qui insiste pour qu’un fichier soit ouvert sur l’appareil personnel plutôt que sur le poste de travail explique rarement pourquoi. Ici, la raison est connue.