Facebook attrape des espions iraniens en train d’hameçonner des cibles militaires américaines

Si vous êtes un membre de l’armée américaine qui reçoit depuis des mois des messages Facebook amicaux de recruteurs du secteur privé lui suggérant un avenir lucratif dans l’industrie aérospatiale ou de la défense, Facebook a peut-être de mauvaises nouvelles.

Jeudi, le géant des médias sociaux a révélé qu’il avait repéré et au moins partiellement interrompu une longue campagne de piratage iranienne qui utilisait des comptes Facebook pour se faire passer pour des recruteurs, attirant des cibles américaines avec des schémas d’ingénierie sociale convaincants avant de leur envoyer des fichiers infectés par des logiciels malveillants ou de les inciter à soumettre des informations d’identification sensibles à des sites de phishing. Selon Facebook, les pirates ont également prétendu travailler dans le secteur de l’hôtellerie ou de la médecine, dans le journalisme, dans des ONG ou des compagnies aériennes, et ont parfois attiré leurs cibles pendant des mois avec des profils sur plusieurs plateformes de médias sociaux différentes. Et contrairement à certains cas précédents d’hameçonnage sur les médias sociaux parrainés par l’État iranien qui se sont concentrés sur les voisins de l’Iran, cette dernière campagne semble avoir largement ciblé les Américains et, dans une moindre mesure, les victimes britanniques et européennes.

Facebook dit avoir supprimé « moins de 200 » faux profils de ses plateformes à la suite de l’enquête et avoir notifié à peu près le même nombre d’utilisateurs de Facebook que les pirates les avaient ciblés. « Notre enquête a révélé que Facebook faisait partie d’une opération d’espionnage beaucoup plus vaste qui ciblait des personnes par le biais de l’hameçonnage, de l’ingénierie sociale, de sites web usurpés et de domaines malveillants sur plusieurs plateformes de médias sociaux, de courriels et de sites de collaboration », a déclaré David Agranovich, directeur de la perturbation des menaces chez Facebook, lors d’un appel à la presse jeudi.

Facebook a identifié les pirates derrière la campagne d’ingénierie sociale comme étant le groupe connu sous le nom de Tortoiseshell, qui travaillerait pour le compte du gouvernement iranien. Le groupe, qui a quelques liens lâches et des similitudes avec d’autres groupes iraniens mieux connus sous les noms d’APT34 ou Helix Kitten et APT35 ou Charming Kitten, a été mis en lumière pour la première fois en 2019. À cette époque, la société de sécurité Symantec. a repéré les pirates informatiques. pénétrant dans des fournisseurs informatiques saoudiens dans le cadre d’une attaque de la chaîne d’approvisionnement visant à infecter les clients de l’entreprise avec un logiciel malveillant connu sous le nom de Syskit. Facebook a repéré ce même logiciel malveillant utilisé dans cette dernière campagne de piratage, mais avec un ensemble de techniques d’infection beaucoup plus large et des cibles aux États-Unis et dans d’autres pays occidentaux au lieu du Moyen-Orient.

Tortoiseshell semble également avoir opté dès le départ pour l’ingénierie sociale plutôt que pour une attaque par chaîne d’approvisionnement, en commençant son catfishing sur les médias sociaux dès 2018, selon la société de sécurité Mandiant. Cela inclut bien plus que Facebook, déclare John Hultquist, vice-président du renseignement sur les menaces chez Mandiant. « Dès certaines des toutes premières opérations, ils compensent des approches techniques vraiment simplistes par des stratagèmes vraiment complexes sur les médias sociaux, ce qui est un domaine où l’Iran est vraiment adepte », dit Hultquist.

En 2019, la division de sécurité Talos de Cisco a repéré l’écaille de tortue. qui gère un faux site de vétérans appelé Hire Military Heroes.conçu pour inciter les victimes à installer sur leur PC une application de bureau contenant un logiciel malveillant. Craig Williams, directeur du groupe de renseignement de Talos, affirme que ce faux site et la campagne plus vaste identifiée par Facebook montrent que les militaires qui tentent de trouver un emploi dans le secteur privé constituent une cible de choix pour les espions. « Le problème que nous rencontrons est que la transition des anciens combattants vers le monde commercial est une industrie énorme », explique M. Williams. « Les méchants peuvent trouver des gens qui vont faire des erreurs, qui vont cliquer sur des choses qu’ils ne devraient pas, qui sont attirés par certaines propositions. »

Facebook prévient que le groupe a également usurpé un site du ministère américain du Travail ; la société a fourni une liste des faux domaines du groupe qui usurpent l’identité de sites de médias d’information, de versions de YouTube et de LiveLeak, et de nombreuses variations différentes d’URL liées à la famille Trump et à l’organisation Trump.