Chosen Brick : L Espion Iranien Caché Dans Une Fausse Irm

On ouvre un fichier parce qu’il a l’air anodin. Une IRM pour une hernie discale. Un installeur qui imite un antivirus connu. Une appli de montage vidéo qu’on attendait déjà. Puis plus rien ne vous appartient : contacts, conversations WhatsApp, extraits d’écran, micro allumé sans le dire. Mardi, trois services de renseignement ont dit la même chose, d’une seule voix. Un logiciel baptisé Chosen Brick sert d’arme de patience contre des dissidents, des militants et des journalistes que Téhéran considère comme des menaces. L’histoire n’est pas seulement technique. Elle raconte comment la confiance se construit pendant des semaines avant qu’un clic ne bascule une vie privée dans le dossier d’un ministère.

Chosen Brick, L’Alerte Qui Change La Donne

Le National Cyber Security Centre britannique, le FBI américain et l’AIVD néerlandais ont publié une note conjointe. Le message est sec. Des opérateurs liés à l’État iranien ciblent des personnes en Europe, aux États-Unis et ailleurs depuis au moins 2025. Dans certains dossiers, la famille de codes remonte à l’automne 2023 sous le nom interne Heavygram. La cible n’est pas un ministère. C’est un individu, souvent isolé, souvent loin de Téhéran, parfois déjà sous pression physique.

Les agences n’ont pas livré de chiffre global de victimes. Elles ont décrit une méthode. On approche la personne sur WhatsApp ou Telegram. On se présente comme un ancien camarade, un contact de rédaction, le support de la plateforme. On parle. On écoute. On attend. Puis on envoie le fichier. Le piège est taillé sur mesure. Une fausse IRM quand la santé sert de prétexte. Une copie de Pictory, de RunwayML, de Norton, de KeePass, de Telegram ou d’un vieux Flash Player quand le métier ou les habitudes numériques offrent une meilleure accroche.

Les détails de cette campagne révèlent comment l’Iran utilise sans pitié la surveillance numérique pour réprimer les critiques du régime, en volant courriels et messages et en accédant aux appareils.

Paul Chichester, directeur des opérations du NCSC

Pourquoi Cette Affaire Touche Aussi Le Monde Crypto

Le dossier paraît loin des blockchains. Il ne l’est pas. Les mêmes personnes visées utilisent souvent des actifs numériques pour financer un média en exil, payer un avocat, aider une famille restée au pays, ou simplement échapper à un système bancaire sous sanctions. Quand un ordinateur Windows bascule, le portefeuille n’est plus un détail. Les captures d’écran montrent des adresses. Les messages Telegram révèlent des rendez-vous de swap. Les fichiers volés dressent la carte d’un réseau de donateurs. La crypto n’est pas le vecteur de l’attaque. Elle en devient le butin et, parfois, la preuve.

Les campagnes iraniennes documentées ces dernières années mêlent déjà pétrole contourné, intermédiaires et chaînes de transactions. Chosen Brick ajoute une couche plus intime. Il ne s’agit plus seulement de suivre un flux on-chain. Il s’agit de savoir qui parle à qui, à quelle heure, dans quelle pièce, avec quel ton. Le pattern of life dont parlent les enquêteurs, c’est précisément ce que beaucoup d’utilisateurs de cryptos croyaient pouvoir brouiller en changeant d’adresse. Un micro ouvert et un historique de messagerie rendent ce brouillage presque cosmétique.

Le Scénario Type, Raconté Sans Fard

Imaginez une journaliste iranienne installée à Londres. Son téléphone professionnel est verrouillé par l’employeur. Son ordinateur perso, beaucoup moins. Un soir, un numéro WhatsApp écrit comme le ferait un ancien collègue. Le ton est juste. Les références aussi. Deux semaines de messages anodins. Puis un PDF médical, parce qu’elle s’est plainte le mois précédent d’un mal de dos. Le fichier s’ouvre. Une interface crédible s’affiche. En arrière-plan, le registre Windows change. Defender perd une partie de sa vue. Un bot Telegram unique s’allume quelque part.

À partir de là, l’outil dresse l’inventaire. Processus en cours. Configuration machine. Courriels. Données WhatsApp et Telegram récupérées via le navigateur. Copies d’écran. Son du micro. Possibilité de télécharger d’autres modules. Possibilité, dans certains échantillons, d’effacer la machine. Les opérateurs n’ont pas besoin d’être brillants chaque jour. Ils ont besoin d’être patients un mois, puis brutaux une heure.

Les enquêteurs notent un détail souvent négligé. L’approche commence parfois sur un appareil de travail, plus surveillé. Quand le fichier refuse de passer, on pousse la cible vers l’ordinateur personnel. C’est là que la plupart des portefeuilles logiciels, des captures de seed phrase et des historiques d’exchange vivent encore, malgré tous les sermons sur le cold storage.

Une Fausse IRM, Et D’Autres Décors Tout Aussi Soignés

La pièce médicale a frappé les imaginations, et c’est compréhensible. Un résultat d’IRM pour hernie discale n’a rien d’un virus dans l’esprit d’une personne fatiguée. Le document imite le langage hospitalier. Il arrive après une conversation où le mal de dos a été mentionné. La personnalisation n’est pas un luxe. C’est le cœur de l’attaque.

Les autres leurres jouent le même jeu. Pictory et RunwayML parlent à qui monte des vidéos. Norton parle à qui a peur des rançongiciels. KeePass parle à qui gère déjà trop de mots de passe. Telegram se copie lui-même. Adobe Flash, relique encore installée ça et là, sert de cache-misère. Chaque fichier porte un décor. Derrière, le même habitant.

Cette variété a une conséquence pratique. On ne peut plus dire « méfiez-vous des pièces jointes douteuses ». Le fichier n’est pas douteux. Il est attendu. Il répond à une conversation réelle. La défense bascule donc vers une habitude plus rude : aucun exécutable reçu par message, jamais, même de la part d’un visage connu, tant que le canal officiel de l’éditeur n’a pas été ouvert à la main.

Ce Que L’Espion Emporte Vraiment

Les communiqués parlent de contacts, de courriels, de messages. La liste réelle est plus large. Chosen Brick dresse le portrait d’une journée. Qui écrit. Qui appelle. Quelles fenêtres restent ouvertes. Quel fond sonore traverse la pièce. Pour un militant, cela signifie cartographier un réseau. Pour un journaliste, cela signifie brûler des sources. Pour quelqu’un qui reçoit des dons en bitcoin ou en stablecoins, cela signifie relier une adresse à un visage, un fuseau horaire, un appartement.

Les fuites ultérieures ne sont pas un accident. Elles font partie de la doctrine. Humilier. Isoler. Montrer aux autres que parler a un prix. Des extraits ont atterri sur des sites pro-iraniens. Le FBI mentionne la persona Handala Hack, déjà associée à des opérations de vol de données, d’extorsion et d’attaques destructrices, dont un incident retentissant contre le fournisseur médical Stryker et la publication d’échanges personnels attribués au directeur du FBI.

Le ministère iranien du Renseignement utilise ce malware pour collecter du renseignement, organiser des fuites et infliger un préjudice réputationnel aux cibles visées.

Lecture du FBI dans l’avis technique

Le bot Telegram individuel n’est pas un caprice d’ingénieur. Si une machine est découverte, les autres restent isolées. On ne tombe pas tout le réseau d’un coup. On perd une prise. On en garde vingt. C’est de l’artisanat d’État, pas du vandalisme de forum.

Le MOIS, Handala Et La Continuité Des Campagnes

Les trois agences n’ont pas épinglé une unité militaire par son nom de guerre le plus spectaculaire. Elles ont décrit des méthodes qui recoupent celles déjà attribuées au MOIS. En mars, Washington avait déjà parlé de malwares pilotés via Telegram contre des opposants. Le ministère américain de la Justice avait saisi des noms de domaine liés à des opérations psychologiques, à des menaces et à la publication de données volées.

Le MI5 britannique, de son côté, évoquait dès l’automne 2025 une série de complots iraniens à visée potentiellement mortelle contre des opposants, y compris hors d’Iran. Le cyber n’est donc pas un théâtre séparé. Il prépare, complète ou remplace l’action physique. Un carnet d’adresses volé aujourd’hui peut servir un rapatriement forcé demain. Cette continuité explique la gravité du ton adopté cette semaine.

Pour le lecteur crypto, le parallèle est clair. Les mêmes États qui improvisent des circuits financiers parallèles savent aussi que les dissidents utilisent ces circuits. Surveiller le portefeuille sans surveiller la messagerie serait incomplet. Chosen Brick comble le trou. Il relie l’humain à la transaction.

Windows, Defender Et La Persistance Banale

Pourquoi Windows uniquement, dans les cas observés ? Parce que c’est encore la machine de travail de beaucoup de rédactions, d’ONG et de indépendants. Parce que le registre offre des recoins connus pour renaître après un reboot. Parce qu’un faux installeur y paraît naturel. Les téléphones sont déjà saturés d’alertes. Le PC perso reste le talon d’Achille des gens pressés.

La désactivation partielle de Microsoft Defender n’a rien d’élégant. Elle est efficace si la victime ne surveille pas les exclusions. Beaucoup ne le font pas. Le logiciel n’a pas besoin d’être invisible pour toujours. Il a besoin de quelques jours de calme pour pomper l’essentiel. Ensuite, la fuite publique fait le reste du travail politique.

Les organisations qui emploient des profils exposés reçoivent un conseil simple et peu glamour. Traiter l’ordinateur personnel comme un actif de l’organisation. Le patcher. Le restreindre. Le surveiller. Diffuser l’alerte jusque dans les foyers. Un journaliste n’est pas moins cible le dimanche soir devant une série.

Les Recommandations, Sans Magie Technique

Les agences répètent des gestes que tout le monde connaît et que presque personne n’applique quand le message vient d’un ami. Ne jamais installer un programme reçu par conversation. Passer par le site de l’éditeur, tapé à la main. Maintenir le système à jour. Activer une authentification résistante au hameçonnage là où c’est possible. Surveiller les postes, pas seulement les serveurs.

Rien de tout cela n’élimine un État déterminé. Cela élève le coût. Chosen Brick mise sur la courtoisie de la cible. La seule parade durable est une forme de rudesse quotidienne : traiter le message trop parfait comme un signal, pas comme une consolation.

Quand La Fuite Devient Une Arme De Harcèlement

Voler ne suffit plus. Publier transforme le vol en spectacle. Des données personnelles ressortent sur des sites alignés. L’objectif déclaré par les analystes américains est double : renseigner et nuire à la réputation. Pour un opposant, la réputation n’est pas un luxe de réseau social. C’est la condition pour continuer à parler, à lever des fonds, à protéger des proches.

Dans l’écosystème crypto, la même logique existe déjà sous d’autres noms. Doisser un développeur. Relier un pseudonyme à un KYC. Menacer de tout déverser si une rançon n’arrive pas. Chosen Brick industrialise le geste au bénéfice d’un régime. Les leak sites deviennent la vitrine. Le malware reste l’atelier.

Les victimes prévenues par l’AIVD n’ont pas toutes été rendues publiques. C’est volontaire. Donner des chiffres précis offrirait aux opérateurs une carte de ce qui a été vu. Le silence statistique n’est pas de l’indifférence. C’est une contre-mesure.

Sanctions, Pétrole Et Argent Discret

Le texte source le dit en une phrase, presque en passant. La crypto sert parfois de nerf de la guerre, entre pétrole sanctionné et transactions dissimulées. Il faut déplier l’idée. Un État sous pression financière cherche des rails. Des intermédiaires aussi. Des dissidents, à l’inverse, cherchent des rails que la banque locale ne peut pas couper. Les deux usages se croisent sur les mêmes protocoles, pas pour les mêmes raisons.

Quand un logiciel d’espionnage entre dans l’ordinateur d’un collecteur de dons, l’État gagne deux choses. La liste des donateurs. La preuve d’un circuit. On peut ensuite frapper le circuit par la honte, par le droit interne, ou par des relais à l’étranger. La chaîne n’a pas besoin d’être entièrement on-chain pour être utile. Un screenshot de Metamask dans une conversation Telegram suffit à relancer une enquête humaine.

C’est pourquoi les conseils de sécurité « crypto » qui s’arrêtent au hardware wallet manquent la scène. Le hardware wallet protège la clé. Il ne protège pas la discussion qui dit où se trouve le hardware wallet. Chosen Brick écoute la discussion.

Ce Que Change Une Alerte À Trois Voix

Une note solo d’un CERT se perd. Une note NCSC-FBI-AIVD circule dans les rédactions, les ONG et les états-majors de sécurité. Elle autorise les équipes internes à imposer des règles impopulaires. Elle donne un nom à un sentiment vague. Elle permet à une personne ciblée de dire : ce n’était pas de la paranoïa.

Elle a aussi une fonction diplomatique. Nommer le mode opératoire, même sans livrer tous les indicateurs techniques au grand public, encadre le récit. Téhéran nie en bloc, comme souvent. Les trois capitales posent un dossier. Les prochains incidents seront lus à cette lumière.

Pour la communauté crypto francophone, l’intérêt n’est pas de transformer chaque actualité géopolitique en prétexte de cours. Il est de rappeler qu’un actif portable n’annule pas un ordinateur poreux. La souveraineté individuelle commence avant la seed. Elle commence au moment où l’on décide si un fichier médical envoyé par un « ami » mérite d’être ouvert.

Journalistes, Militants, Familles : Le Cercle Qui S’Élargit

Les cibles premières sont politiques. Les victimes collatérales sont sociales. Un carnet d’adresses n’appartient pas qu’à son propriétaire. Chaque contact devient une porte. Les opérateurs l’ont compris. Un compte compromis sert à écrire au cercle suivant avec la bonne voix. La campagne n’a pas besoin de mille exploits zero-day. Elle a besoin de dix conversations crédibles.

Les rédactions en exil le savent depuis des années. Iran International et d’autres titres ont déjà été harcelés par des personas liées aux mêmes nébuleuses. Chosen Brick n’invente pas la répression transnationale. Il la rend plus domestique. Moins de serveur explosé. Plus de salon infecté.

Les familles restantes en Iran paient un prix particulier. Un message intercepté peut justifier une convocation. Un don visible peut justifier une saisie. L’ordinateur à Berlin parle à un commissariat à Téhéran. Cette géographie-là n’apparaît pas dans les tableaux de marché. Elle pèse pourtant sur la manière dont l’argent circule.

Lire L’Avis Technique Sans Se Noyer

Le FBI a publié une analyse plus fine côté indicateurs. Le NCSC a concentré le récit sur le danger humain. L’AIVD a insisté sur les résidents occidentaux. Trois angles, un objet. Pour un administrateur, il faut chercher les exclusions Defender inhabituelles, les persistance au démarrage, les communications vers l’API Telegram qui ne correspondent à aucune appli légitime installée par l’utilisateur.

Pour un particulier, la checklist reste plus courte. Si un fichier reçu par message demande des droits d’installation, on s’arrête. Si un « support Telegram » écrit le premier, on s’arrête. Si une IRM arrive sans rendez-vous hospitalier réel, on s’arrête. La technique suit. Le réflexe précède.

Les entreprises qui soupçonnent une exécution sont invitées à saisir leur prestataire, interne ou externe. Isoler la machine. Ne pas « nettoyer à la main » en croyant ruser. Un wipe mal préparé détruit la preuve et laisse parfois une seconde porte.

Une Défense Qui N’Est Ni Un Logiciel Ni Un Slogan

On aimerait une extension magique, un antivirus définitif, un bouton. L’avis des trois services se termine ailleurs. La meilleure parade n’est ni un produit ni une mise à jour isolée. C’est une méfiance entretenue, presque ennuyeuse, face au message trop amical. Cette phrase sonne moralisatrice. Elle est opérationnelle.

Chosen Brick réussit quand la cible veut croire. Croire qu’un ancien camarade a enfin donné de ses nouvelles. Croire qu’un service d’assistance va réparer le compte. Croire qu’un médecin a envoyé le bon fichier. La compétence des opérateurs consiste à nourrir cette envie. La compétence des cibles consiste à la frustrer.

Dans un milieu où l’on parle sans cesse de confiance minimisée, de preuves, de vérification, l’ironie est cruelle. On vérifie une transaction à dix confirmations. On ouvre un exécutable parce que le prénom dans la conversation est le bon. Les États l’ont remarqué. Ils tapent là.

Ce Qu’Il Faut Retenir Sans Se Perdre

Un logiciel Windows persistant, piloté par des bots Telegram individuels, livré après une longue phase sociale, déguisé en document médical ou en logiciel familier, attribué à des acteurs iraniens d’État, utilisé contre des voix critiques, parfois suivi de fuites publiques. Voilà le noyau. Autour, une leçon plus large sur la répression à distance et sur la fragilité des machines personnelles qui portent encore trop de secrets financiers.

• Qui frappe : des opérateurs liés à l’État iranien, avec un recoupement fort vers le MOIS.
• Qui trinque : dissidents, militants, journalistes, et par ricochet leurs réseaux.
• Comment : confiance d’abord, fichier ensuite, persistance Windows enfin.
• Pourquoi ça compte ici : les mêmes PC portent messages politiques et traces crypto.

Les prochaines semaines diront si d’autres pays ajoutent leur signature à l’avis. Elles diront aussi si des victimes supplémentaires acceptent de parler. En attendant, le geste le plus utile n’est pas un commentaire géopolitique. C’est de transmettre l’alerte à la personne qui, ce soir, va peut-être ouvrir une IRM envoyée par quelqu’un qui se dit familier.

La surveillance étatique n’a pas attendu les blockchains pour exister. Les blockchains n’ont pas attendu Chosen Brick pour servir à la fois d’abri et de cible. Ce qui change, c’est la couture entre les deux. Un écran capturé. Un micro ouvert. Un bot qui n’appartient qu’à vous, dans le mauvais sens du terme. Après cela, la conversation trop douce d’un inconnu qui connaît votre mal de dos n’est plus une anecdote. C’est le premier chapitre d’un dossier.