L'FBI émet des avertissements sur les opérations cybernétiques russes et iraniennes ciblant les plateformes de messagerie
Alerte de l'FBI sur l'espionnage cybernétique russe
Le Bureau fédéral d'enquête (FBI) a récemment publié deux avertissements distincts concernant des activités cybernétiques provenant de Russie et d'Iran, qui impliquent toutes deux l'exploitation d'applications de messagerie populaires.
Les agences de renseignement russes ciblent apparemment des applications de messagerie commerciales, telles que Signal, pour obtenir un accès non autorisé aux comptes d'actuels et d'anciens fonctionnaires du gouvernement américain, de militaires, de personnalités politiques et de journalistes. Le FBI, en collaboration avec l'Agence de cybersécurité et de sécurité des infrastructures (CISA), a déclaré que cette opération mondiale a conduit à la compromission non autorisée de milliers de comptes.
Les opérateurs russes utilisent des tactiques de phishing, envoyant des messages conçus pour apparaître comme des notifications de support automatisé légitimes. Ces messages visent à tromper les destinataires en leur faisant croire qu'ils doivent effectuer une action, comme cliquer sur un lien ou fournir des codes de vérification et des PIN de compte. Si un utilisateur se conforme à ces demandes, il accorde involontairement aux attaquants un accès non autorisé à son compte, soit en reliant l'appareil de l'attaquant, soit en facilitant une prise de contrôle complète du compte. Les agences ont noté qu'à mesure que cette campagne évolue, d'autres méthodes, y compris des malwares, pourraient être utilisées pour infecter les victimes.
Une fois qu'un compte est compromis, les acteurs malveillants peuvent voir les messages et les listes de contacts de la victime, envoyer des messages et initier d'autres tentatives de phishing contre d'autres comptes de messagerie. Bien que l'avis mette spécifiquement en avant Signal, le FBI a souligné que ces tactiques pourraient être appliquées à n'importe quelle application de messagerie. Le public est invité à faire preuve de prudence avec les messages non vérifiés et à améliorer ses pratiques de cybersécurité personnelle. L'avis précise que ces campagnes n'exploitent pas les vulnérabilités au sein de Signal ou d'autres applications de messagerie ; au contraire, elles sont conçues pour contourner le chiffrement en compromettant directement les utilisateurs eux-mêmes.
L'année dernière, lors d'un témoignage devant le Congrès, la Directrice du renseignement national Tulsi Gabbard a fait référence aux conseils de la CISA, publiés après que des hackers chinois aient pénétré les réseaux de télécommunications américains. Ces conseils conseillaient aux "individus hautement ciblés" d'utiliser des "communications chiffrées de bout en bout." Elle a également souligné que Signal est préinstallé sur les appareils du gouvernement fédéral. En décembre, le président Donald Trump a signé un projet de loi sur la politique du Pentagone exigeant que le secrétaire à la Défense s'assure que les hauts responsables du Département de la Défense (DOD) reçoivent des téléphones mobiles équipés de "protections de cybersécurité renforcées," y compris le chiffrement des données.
Auparavant, l'inspecteur général du Pentagone avait publié un rapport indiquant que le secrétaire à la Défense Pete Hegseth avait violé les règlements départementaux existants concernant le traitement des informations sensibles et avait potentiellement mis en danger des troupes. Cela s'est produit lorsqu'il a utilisé Signal pour discuter de la frappe militaire imminente des États-Unis au Yémen. Après l'inauguration du président Donald Trump l'année dernière, The Atlantic a publié un transcript complet d'une conversation Signal entre des responsables de niveau Cabinet précédant une frappe contre le groupe armé Houthi au Yémen. Cela s'est produit après qu'un journaliste ait été inclus par erreur dans la discussion, où les membres ont ouvertement discuté des horaires de frappe et des types d'avions impliqués. Un autre rapport de surveillance a conclu que le Département de la Défense manquait d'une plateforme de messagerie sécurisée capable de coordonner des opérations sensibles.
Opérations cybernétiques iraniennes : Hack Handala et exploitation de Telegram
Dans une alerte flash distincte publiée vendredi, le FBI a détaillé comment le ministère iranien du Renseignement et de la Sécurité (MOIS) utilise la plateforme de messagerie Telegram comme infrastructure pour communiquer avec des malwares. Ces malwares sont utilisés pour infecter les appareils des dissidents iraniens, des journalistes et d'autres individus ciblés.
Ce malware permet au MOIS de voler des informations et de surveiller ses cibles. Les acteurs de la menace ont déguisé le malware pour qu'il apparaisse comme des programmes ou services couramment utilisés sur les machines Windows. Les appareils infectés sont ensuite connectés à des bots sur Telegram, qui facilitent l'accès à distance des utilisateurs pour exfiltrer des captures d'écran ou des fichiers des appareils de la victime. Le FBI a directement lié l'utilisation de Telegram au groupe iranien présumé connu sous le nom de Hack Handala, qui a récemment revendiqué un attaque contre la société de dispositifs médicaux Stryker.
L'agence a rapporté que dans certains cas, le malware imitait initialement des applications légitimes telles que le générateur vidéo AI Pictory, le gestionnaire de mots de passe KeePass, ou Telegram lui-même. Une fois ouvert, il se connectait à un bot Telegram contrôlé par le gouvernement, établissant "une communication bidirectionnelle entre l'appareil compromis et api.telegram[.]org." Au moins une victime a été contactée via des applications de messagerie sur les réseaux sociaux par des hackers se faisant passer pour un support technique de l'application. Les acteurs cybernétiques iraniens ont ensuite persuadé la victime d'accepter un transfert de fichier contenant le malware déguisé de stade 1.
Après avoir obtenu un accès initial au système de la victime, un malware supplémentaire a été téléchargé. Ce malware permettait des capacités telles que l'enregistrement d'écran et audio, la capture de cache, la compression de fichiers et la suppression de fichiers. L'avis a noté : "Sur la base de plusieurs observations, le stade 1 du malware semblait être adapté au mode de vie de la victime pour augmenter la probabilité que la victime télécharge le malware, ce qui indique que les acteurs cybernétiques iraniens ont probablement effectué une reconnaissance ciblée avant d'interagir avec la victime."
Plusieurs experts ont observé que l'utilisation de Telegram comme un composant crucial dans les compromissions cybernétiques est une tendance croissante parmi les cybercriminels et les acteurs soutenus par l'État, qui l'utilisent comme infrastructure de commandement et de contrôle. Ensar Seker, CISO chez SOCRadar, a expliqué que Telegram permet aux acteurs de la menace d'intégrer un trafic malveillant au sein de plateformes de confiance et chiffrées. Seker a déclaré : "En tirant parti d'une application largement utilisée comme Telegram, des groupes tels que Handala réduisent considérablement la probabilité de détection, car les contrôles de sécurité sont souvent réglés pour autoriser ce trafic par défaut." Il a ajouté : "L'implication plus large est que les plateformes de messagerie chiffrées deviennent une infrastructure à double usage pour la communication et les opérations secrètes. Les équipes de sécurité doivent réévaluer leurs hypothèses de confiance et mettre en œuvre des contrôles de visibilité autour des applications sanctionnées, y compris la journalisation, la détection d'anomalies et des politiques d'accès strictes."