Le 15 septembre 2026, le National Cyber Security Centre britannique, le FBI et l’AIVD néerlandais ont publié un avis conjoint sur CHOSEN BRICK, une famille de malware Windows attribuée à des cyberacteurs étatiques iraniens. L’alerte décrit des personnes ciblées dans plusieurs pays, notamment des dissidents, militants et journalistes, avec une campagne observée au moins depuis 2025.
L’enjeu ne tient pas seulement à l’installation d’un logiciel malveillant. Les attaquants construisent d’abord une relation crédible dans WhatsApp ou Telegram, puis utilisent un faux outil ou un faux document pour prendre le contrôle du poste et accéder aux communications, aux comptes et aux habitudes de la personne ciblée.
Ce que l’alerte établit
Les agences ne décrivent pas une campagne Windows diffusée au hasard. Elles rapportent un ciblage de personnes considérées comme critiques du régime iranien, ainsi que la publication possible de données personnelles de certaines victimes sur des sites de fuite pro-iraniens. Cette exposition peut augmenter le risque de harcèlement et, pour les personnes déjà menacées, le risque pour leur sécurité physique.
CHOSEN BRICK a été observé exclusivement sur Windows. Le FBI suit la même famille sous le nom HEAVYGRAM dans son analyse technique. Cette différence de nommage ne change pas le mécanisme décrit : un fichier qui paraît légitime déclenche en arrière-plan l’installation d’un composant permettant le contrôle du poste.
Le faux outil comme point d’entrée
La chaîne commence par une conversation sur une messagerie. L’opérateur peut se faire passer pour une connaissance ou pour le support technique de la plateforme, après avoir recherché des informations sur sa cible. Le lien de confiance sert ensuite à rendre naturel le téléchargement d’un fichier.
Les leurres documentés prennent la forme d’applications connues comme Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player ou KeePass. D’autres fichiers imitent des résultats d’IRM. Une fois ouvert, le fichier affiche une interface cohérente avec le prétexte afin de ne pas éveiller les soupçons, tout en téléchargeant et exécutant CHOSEN BRICK en arrière-plan.
Les acteurs commencent souvent par l’ordinateur professionnel. Si les protections de l’organisation bloquent le fichier ou rendent la détection probable, ils peuvent demander à la personne de l’ouvrir sur son appareil personnel. La frontière entre sécurité du poste de travail et sécurité de la personne devient alors un élément central de la défense.
Persistance, collecte et exfiltration
CHOSEN BRICK survit au redémarrage en ajoutant une entrée dans HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run. Cette clé est exécutée à la connexion de l’utilisateur et ne nécessite pas de privilèges administrateur. Le malware peut aussi ajouter des exclusions à Microsoft Defender pour que certains fichiers échappent à l’analyse.
Une fois actif, chaque poste communique avec un identifiant de bot Telegram qui lui est propre. Les données et fichiers collectés peuvent sortir par ce canal ou par des services de stockage objet comme VultrObjects et StorjShare. Des variantes récentes utilisent aussi des proxys HTTPS ou SOCKS5 pour masquer davantage le trafic vers Telegram.
L’avis précise que le déplacement latéral automatisé n’a pas été observé. En revanche, CHOSEN BRICK peut télécharger d’autres charges et leur ajouter une persistance similaire. Il faut donc distinguer ce qui a été constaté de ce qui reste techniquement possible.
Les informations qui peuvent sortir du poste
Les commandes documentées incluent l’inventaire des processus et des informations système, la capture d’écran, l’activation du microphone, le vol du contenu Telegram et WhatsApp accessible depuis les navigateurs, ainsi que le vol d’e-mails. Le malware peut également télécharger d’autres fichiers, supprimer des fichiers et, dans au moins un échantillon, effacer le système.
Une capture d’écran ne révèle pas seulement une fenêtre ouverte. Elle peut montrer les contacts d’une personne, sa localisation ou ses habitudes quotidiennes. Les agences indiquent que des informations personnelles de victimes ont parfois été publiées ensuite. Pour un journaliste, un militant ou un dissident, le risque porte donc aussi sur l’entourage et les sources, pas uniquement sur le poste infecté.
Que faire si un fichier a été ouvert
Sur le poste potentiellement compromis, interrompez la connexion réseau et évitez de continuer à utiliser les comptes. Ne supprimez pas précipitamment le fichier, les journaux ou le disque : l’analyse a besoin de conserver les éléments qui permettront de confirmer l’infection. Faites intervenir l’équipe informatique ou un prestataire spécialisé.
Depuis un appareil sain, changez les mots de passe des comptes utilisés sur le poste, en commençant par la messagerie principale et les comptes de récupération. Révoquez les sessions, renouvelez les clés ou jetons lorsqu’ils existent et activez une MFA résistante au phishing. Si le fichier a été ouvert sur un ordinateur personnel, les comptes personnels et les données de messagerie doivent être traités avec la même priorité.
Ne téléchargez pas un logiciel envoyé par lien ou pièce jointe, même si la conversation semble familière. Utilisez le site officiel saisi manuellement, maintenez Windows et les applications à jour, gardez l’antivirus actif et ne désactivez pas les avertissements SmartScreen pour faire fonctionner un fichier.
Ce que les organisations doivent vérifier
Une organisation qui craint une exécution doit rechercher les indicateurs de l’avis conjoint dans les journaux disponibles et sur les postes concernés. Les entrées SMQDService et winappx dans la clé Run, ainsi que le chemin inhabituel C:\Windows \SysWOW64, sont des exemples documentés, pas une liste complète de noms à bloquer.
La surveillance réseau doit également examiner les connexions inattendues vers api.telegram.org, backblazeb2.com, vultrobjects.com, storjshare.io, iproyal.com et lightningproxies.net. Ces domaines sont légitimes ou peuvent être partagés par d’autres usages : leur présence seule ne prouve pas l’infection. C’est l’association avec un poste, un horaire et un comportement inhabituels qui justifie l’enquête.
Enfin, les équipes doivent informer les personnes susceptibles d’être ciblées, y compris lorsqu’elles utilisent un appareil personnel. La MFA résistante au phishing, l’autorisation contrôlée des applications, l’antivirus géré, la journalisation des postes et la capacité à révoquer rapidement les accès réduisent l’impact d’un fichier ouvert par erreur.
Le lien avec Soclyde
Soclyde ne protège pas les personnes visées par CHOSEN BRICK et ne remplace ni l’analyse d’un poste compromis ni les mesures de réponse à incident. Son utilité est en amont et après l’incident : générer un secret différent pour chaque service, le conserver dans un coffre chiffré et rendre la rotation plus praticable quand un compte ou une session doit être révoqué.
À retenir
CHOSEN BRICK illustre une attaque où la confiance dans une conversation précède le malware. Le fichier peut sembler être un outil connu ou un document attendu, puis installer une persistance Windows, collecter des communications et exfiltrer des données. Pour les personnes à risque, la priorité est de ne jamais installer depuis un message et de faire analyser tout poste ayant ouvert un leurre.
Pour approfondir : comprendre le risque des infostealers ou échanger avec Soclyde.
