Un faux installateur antivirus a causé les dégâts
Le National Cyber Security Centre britannique, le FBI américain et le service de renseignement néerlandais AIVD ont publié le 15 septembre 2026 une alerte conjointe attribuant une famille de logiciels espions Windows appelée CHOSEN BRICK à des acteurs liés à l'État iranien. Le FBI a déclaré que le ministère iranien du Renseignement et de la Sécurité utilise ce logiciel malveillant pour collecter du renseignement, mener des fuites de données et porter atteinte à la réputation de ses cibles. Le directeur des opérations du NCSC, Paul Chichester, a déclaré que l'Iran utilise la surveillance numérique sans scrupule pour réprimer les critiques du régime, en volant des e-mails et des messages et en accédant à des appareils.
La méthode de diffusion est ce qui mérite qu'on lise ce dossier au-delà du titre. Les opérateurs prenaient contact avec les cibles sur WhatsApp ou Telegram en se faisant passer pour une connaissance de la cible, instauraient une relation de confiance pendant plusieurs jours, puis livraient le logiciel malveillant caché dans des fichiers déguisés en logiciels familiers et fiables : Norton Antivirus, Adobe Flash Player, le gestionnaire de mots de passe KeePass, Telegram lui-même, et les outils d'IA Pictory et RunwayML. Une cible qui s'attendait à installer un logiciel de protection installait en réalité un logiciel de surveillance.
Pourquoi cela compte : une marque est devenue la surface d'attaque
Les formations à la sensibilisation à la sécurité disent généralement aux gens de faire confiance aux noms de logiciels connus et réputés et de se méfier des inconnus. Cette campagne inverse directement ce réflexe : elle utilise la réputation de Norton Antivirus et de KeePass, deux noms auxquels on entraîne les gens à faire confiance précisément parce qu'il s'agit d'outils de sécurité, comme déguisement. Un utilisateur qui vérifie qu'un téléchargement porte le nom d'un antivirus ou d'un gestionnaire de mots de passe connu effectue exactement le contrôle que cette campagne était conçue pour franchir.
La leçon n'est pas que les logiciels de sécurité ne sont pas fiables. C'est qu'un nom de fichier ou une icône familière n'équivaut pas à une vérification, et que le message WhatsApp ou Telegram qui instaure la confiance avant l'arrivée du fichier est le moment réel qu'il vaut la peine d'apprendre à repérer, pas le fichier lui-même.
Ce que le logiciel malveillant fait réellement
Une fois actif, CHOSEN BRICK collecte les contacts, la boîte mail et les messages sur les réseaux sociaux de la victime, capture le contenu de l'écran et peut activer le microphone de l'appareil, selon l'alerte conjointe et des rapports techniques indépendants. Il survit à un redémarrage grâce à une entrée de persistance dans la clé du registre Windows HKCU\Software\Microsoft\Windows\CurrentVersion\Run, un détail assez précis pour que toute équipe de sécurité axée sur Windows puisse vérifier ses propres postes. La campagne ne concerne que Windows et a visé des dissidents, des militants et des journalistes au Royaume-Uni, aux États-Unis et aux Pays-Bas depuis au moins 2025.
Les trois agences présentent cette divulgation comme une attribution conjointe plutôt que la découverte d'un seul pays, ce qui est en soi notable : les mêmes indicateurs sont désormais publics et exploitables simultanément par trois autorités nationales de cybersécurité, au lieu d'apparaître au compte-gouttes dans des alertes nationales séparées à des mois d'intervalle.
Ce que cela signifie pour la formation à la sécurité de toute organisation
L'alerte désigne des dissidents, des militants et des journalistes comme cibles visées, pas des entreprises, mais la technique de diffusion, des jours de création de confiance sur une application de messagerie suivis d'un fichier déguisé en logiciel fiable, est générique et apparaît déjà dans le harponnage ciblé en entreprise et la fraude au président. Toute organisation dont le personnel compte des journalistes, des employés d'ONG ou des dirigeants au profil public lié à une diaspora ou une communauté de défense de causes devrait traiter les indicateurs de cette alerte, y compris la clé de persistance spécifique du registre, comme quelque chose à vérifier directement plutôt que de classer l'histoire comme une actualité sur les droits humains et de passer à autre chose.
À lire ensuite: Claude Est Devenu Une Équipe D'Ingénierie D'Armement | Augmentez vite votre usage de l'IA, sans qu'on dise pourquoi
