Chosen Brick : le logiciel espion iranien qui se cache dans une fausse IRM pour piéger des dissidents
Big Brother is watching you. Mardi, trois agences de renseignement se sont exprimées d’une seule voix. Le National Cyber Security Centre britannique, le FBI américain et l’AIVD néerlandais ont publié une alerte conjointe. Elle vise un logiciel espion utilisé par des hackers liés à l’État iranien. Sa cible : des dissidents, des militants et des journalistes considérés comme des menaces pour le régime de Téhéran. Baptisé Chosen Brick, l’outil se distingue par la patience de ses opérateurs. Ils construisent une relation de confiance avec leur victime, parfois pendant des mois, avant de lâcher le piège.
- Le National Cyber Security Centre britannique, le FBI américain et l’AIVD néerlandais ont émis une alerte conjointe sur le logiciel espion Chosen Brick, utilisé par des hackers liés à l’État iranien.
- Chosen Brick infiltre des appareils Windows en se faisant passer pour des contacts connus et utilise de faux documents pour piéger ses victimes, ciblant dissidents, militants et journalistes.
Chosen Brick : une fausse IRM comme porte d’entrée
Le mode opératoire suit toujours le même schéma. Les attaquants contactent leur cible sur WhatsApp ou Telegram. Ils se font passer pour une relation connue, ou parfois pour le support technique de l’application elle-même. La confiance s’installe peu à peu. Puis vient le piège : un fichier à ouvrir, déguisé selon le profil de la victime.
Les enquêteurs ont recensé de faux résultats d’IRM pour une hernie discale, mais aussi de fausses applications imitant Pictory, RunwayML, Norton Antivirus ou encore KeePass. Le logiciel malveillant ne vise que Windows. Une fois lancé, il modifie le registre système pour survivre à chaque redémarrage, et désactive une partie de Microsoft Defender au passage.
Un espion discret, mais aux ambitions larges
Une fois installé, Chosen Brick aspire à peu près tout : contacts, e-mails, messages WhatsApp et Telegram, contenu de l’écran, et même le micro de l’appareil. De quoi reconstituer, selon les mots du NCSC, un véritable « pattern of life » : les habitudes, les déplacements, l’entourage d’une cible. Chaque victime communique avec un bot Telegram qui lui est propre, une précaution qui limite les dégâts si un seul appareil venait à être découvert.
Certaines données volées ont fini publiées sur des sites de fuite pro-iraniens, dans un but de harcèlement. Les agences n’ont pas nommé d’unité précise. Mais les méthodes recoupent celles déjà attribuées par le FBI au ministère iranien du Renseignement (MOIS) en mars dernier. À la même période, Washington enquêtait justement sur le piratage de la messagerie personnelle du directeur du FBI. Le MI5, de son côté, évoquait dès octobre 2025 plus de vingt complots iraniens à visée potentiellement mortelle contre des opposants au régime, y compris hors d’Iran.
Face à une telle menace, les recommandations restent simples : ne jamais installer un logiciel reçu par message, toujours passer par le site officiel de l’éditeur, et garder ses appareils à jour. Les organisations qui emploient des personnes exposées, journalistes ou militants en tête, sont invitées à diffuser l’alerte largement, y compris pour les appareils personnels.
Cette affaire s’inscrit dans un climat de cybersurveillance étatique de plus en plus documenté. Et la crypto elle-même y sert parfois de nerf de la guerre, entre pétrole sanctionné et transactions dissimulées. Reste un constat simple : la meilleure défense contre ce genre d’opération n’est ni technique ni logicielle. C’est la méfiance, entretenue au quotidien, face à un message trop amical envoyé par un inconnu qui se dit familier.
Gabriel Montaut
Geek, passionné de SEO, de crypto et d'IA. Responsable SEO pour Journal Du Coin et consultant SEO freelance, je suis investi dans la diffusion et la compréhension des innovations tech en général et m’attache particulièrement à rendre l’actualité accessible au plus grand nombre.
