Mardi, le militant iranien Nariman Gharib basé au Royaume-Uni a tweeté des captures d’écran expurgées d’un lien de phishing qui lui avait été envoyé via un message WhatsApp.
« Ne cliquez pas sur des liens suspects », a prévenu Gharib. Le militant, qui suit de loin le volet numérique des manifestations iraniennes, a déclaré que la campagne visait des personnes impliquées dans des activités liées à l’Iran, comme lui-même.
Cette campagne de piratage intervient alors que l’Iran est aux prises avec la plus longue coupure d’Internet nationale de son histoire, alors que les manifestations antigouvernementales – et la violente répression – font rage à travers le pays. Étant donné que l’Iran et ses plus proches adversaires sont très actifs dans le cyberespace offensif (lire : pirater des personnes), nous voulions en savoir plus.
Gharib a partagé le lien de phishing complet avec TechCrunch peu après son message, nous permettant de capturer une copie du code source de la page Web de phishing utilisée dans l’attaque. Il a également partagé un compte rendu de ses découvertes.
TechCrunch a analysé le code source de la page de phishing et, avec l’apport de chercheurs en sécurité, nous pensons que la campagne visait à voler Gmail et d’autres informations d’identification en ligne, à compromettre les comptes WhatsApp et à effectuer une surveillance en volant des données de localisation, des photos et des enregistrements audio.
Il n’est cependant pas clair si les pirates informatiques étaient des agents liés au gouvernement, des espions ou des cybercriminels – ou les trois.
TechCrunch a également identifié un moyen d’afficher une copie en temps réel de toutes les réponses des victimes enregistrées sur le serveur de l’attaquant, qui est restée exposée et accessible sans mot de passe. Ces données ont révélé que des dizaines de victimes avaient involontairement saisi leurs identifiants sur le site de phishing et avaient probablement été ensuite piratées.
La liste comprend un universitaire du Moyen-Orient travaillant dans les études sur la sécurité nationale ; le patron d’un fabricant de drones israélien ; un haut ministre libanais ; au moins un journaliste ; et les personnes aux États-Unis ou avec des numéros de téléphone américains.
TechCrunch publie nos résultats après avoir validé une grande partie du rapport de Gharib. Le site de phishing est désormais indisponible.
À l’intérieur de la chaîne d’attaque
Selon Gharib, le message WhatsApp qu’il a reçu contenait un lien suspect qui chargeait un site de phishing dans le navigateur de la victime.
Le lien montre que les attaquants se sont appuyés sur un fournisseur DNS dynamique appelé DuckDNS pour leur campagne de phishing. Les fournisseurs DNS dynamiques permettent aux utilisateurs de connecter des adresses Web faciles à mémoriser – dans ce cas, un sous-domaine duckdns.org – à un serveur dont l’adresse IP peut fréquemment changer.
Il n’est pas clair si les attaquants ont fermé le site de phishing de leur propre gré ou s’ils ont été attrapés et coupés par DuckDNS. Nous avons contacté DuckDNS pour lui poser des questions, mais son propriétaire, Richard Harper, nous a demandé d’envoyer un rapport d’abus à la place.
D’après ce que nous comprenons, les attaquants ont utilisé DuckDNS pour masquer l’emplacement réel de la page de phishing, probablement pour la faire ressembler à un véritable lien WhatsApp.
La page de phishing était en fait hébergée sur alex-fabow.online, un domaine qui a été enregistré pour la première fois début novembre 2025. Ce domaine possède plusieurs autres domaines associés hébergés sur le même serveur dédié, et ces noms de domaine suivent un modèle qui suggère que la campagne ciblait également d’autres fournisseurs de salles de réunion virtuelles, comme meet-safe.online et whats-login.online.
Nous ne savons pas ce qui se passe pendant le chargement du lien DuckDNS dans le navigateur de la victime, ni comment le lien détermine la page de phishing spécifique à charger. Il se peut que le lien DuckDNS redirige la cible vers une page de phishing spécifique en fonction des informations qu’elle glane sur l’appareil de l’utilisateur.
La page de phishing ne se chargerait pas dans notre navigateur Web, ce qui nous empêcherait d’interagir directement avec elle. La lecture du code source de la page nous a cependant permis de mieux comprendre le fonctionnement de l’attaque.
Phishing d’identifiants Gmail et de numéro de téléphone
Selon la cible, appuyer sur un lien de phishing ouvrirait une fausse page de connexion Gmail, ou demanderait son numéro de téléphone, et lancerait un flux d’attaque visant à voler son mot de passe et son code d’authentification à deux facteurs.
Mais le code source de la page de phishing présentait au moins un défaut : TechCrunch a découvert qu’en modifiant l’URL de la page de phishing dans notre navigateur Web, nous pouvions afficher un fichier sur les serveurs de l’attaquant qui stockait les enregistrements de chaque victime ayant saisi ses informations d’identification.
Le dossier contenait plus de 850 enregistrements d’informations soumises par les victimes lors de l’attaque. Ces enregistrements détaillaient chaque partie du flux de phishing dans lequel se trouvait la victime. Cela comprenait des copies des noms d’utilisateur et des mots de passe que les victimes avaient saisis sur la page de phishing, ainsi que des entrées incorrectes et leurs codes à deux facteurs, servant effectivement d’enregistreur de frappe.
Les enregistrements contenaient également l’agent utilisateur de chaque victime, une chaîne de texte identifiant le système d’exploitation et les versions du navigateur utilisés pour consulter les sites Web. Ces données montrent que la campagne a été conçue pour cibler les utilisateurs de Windows, macOS, iPhone et Android.
Le fichier exposé nous a permis de suivre le flux d’attaque étape par étape pour chaque victime. Dans un cas, le fichier exposé montre une victime cliquant sur un lien malveillant, ouvrant une page ressemblant à une fenêtre de connexion à Gmail. Le journal montre que la victime saisit ses identifiants de messagerie plusieurs fois jusqu’à ce qu’elle saisisse le mot de passe correct.
Les enregistrements montrent la même victime saisissant son code d’authentification à deux facteurs qui lui a été envoyé par SMS. Nous pouvons le savoir car Google envoie des codes à deux facteurs dans un format spécifique (généralement G-xxxxxx, comportant un code numérique à six chiffres).
Détournement de WhatsApp et exfiltration des données du navigateur
Au-delà du vol d’identifiants, cette campagne semble également permettre la surveillance en incitant les victimes à partager leur position, leur audio et leurs photos depuis leur appareil.
Dans le cas de Gharib, en appuyant sur le lien contenu dans le message de phishing, une fausse page sur le thème de WhatsApp a été ouverte dans son navigateur, qui affichait un code QR. Le leurre vise à inciter la cible à scanner le code sur son appareil, de manière portable, pour accéder à une salle de réunion virtuelle.
Gharib a déclaré que le code QR avait été généré par l’attaquant et que le scanner ou l’appuyer relierait instantanément le compte WhatsApp de la victime à un appareil contrôlé par l’attaquant, lui donnant ainsi accès aux données de la victime. Il s’agit d’une technique d’attaque connue de longue date qui abuse de la fonctionnalité de liaison d’appareils WhatsApp et qui a été utilisée de la même manière pour cibler les utilisateurs de l’application de messagerie Signal.
Nous avons demandé à Runa Sandvik, fondatrice de Granitt et chercheuse en sécurité qui travaille à sécuriser les personnes à risque, d’examiner une copie du code de la page de phishing et de voir comment elle fonctionne.
Sandvik a découvert que lorsque la page était chargée, le code déclenchait une notification du navigateur demandant à l’utilisateur l’autorisation d’accéder à sa position (via navigator.geolocation), ainsi qu’aux photos et audio (navigator.getUserMedia).
S’il est accepté, le navigateur enverra immédiatement les coordonnées de la personne à l’attaquant, capable d’identifier l’emplacement de la victime. La page continuerait alors à partager les données de localisation de la victime toutes les quelques secondes, aussi longtemps qu’elle resterait ouverte.
Le code permettait également aux attaquants d’enregistrer des rafales audio et de prendre des photos toutes les trois à cinq secondes à l’aide de l’appareil photo de l’appareil. Cependant, nous n’avons vu aucune donnée de localisation, audio ou image collectée sur le serveur.
Réflexions sur les victimes, le timing et l’attribution
Nous ne savons pas qui est derrière cette campagne. Ce qui est clair, c’est que la campagne a réussi à voler les informations d’identification des victimes, et il est possible que la campagne de phishing refait surface.
Même si nous connaissons l’identité de certaines personnes de ce groupe de victimes qui ont été ciblées, nous ne disposons pas de suffisamment d’informations pour comprendre la nature de la campagne. Le nombre de victimes piratées par cette campagne (à notre connaissance) est assez faible – moins de 50 individus – et touche des personnes apparemment ordinaires au sein de la communauté kurde, ainsi que des universitaires, des responsables gouvernementaux, des chefs d’entreprise et d’autres personnalités de haut rang de la diaspora iranienne au sens large et du Moyen-Orient.
Il se peut qu’il y ait beaucoup plus de victimes que nous le pensons, ce qui pourrait nous aider à comprendre qui a été ciblé et potentiellement pourquoi.
Le cas où il pourrait s’agir d’un acteur soutenu par le gouvernement
On ne sait pas exactement ce qui a motivé les pirates informatiques à voler les informations d’identification des personnes et à détourner leurs comptes WhatsApp, ce qui pourrait également aider à identifier qui se cache derrière cette campagne de piratage.
Un groupe soutenu par le gouvernement, par exemple, pourrait vouloir voler le mot de passe de messagerie et les codes à deux facteurs d’une cible de grande valeur, comme un homme politique ou un journaliste, afin de pouvoir télécharger des informations privées et confidentielles.
Cela pourrait avoir du sens étant donné que l’Iran est actuellement presque entièrement coupé du monde extérieur et que l’accès aux informations à l’intérieur ou à l’extérieur du pays constitue un défi. Le gouvernement iranien, ou un gouvernement étranger ayant des intérêts dans les affaires iraniennes, pourrait vraisemblablement vouloir savoir avec qui communiquent des individus influents liés à l’Iran, et à quoi cela sert-il.
En tant que tel, le moment choisi pour cette campagne de phishing et les personnes qu’elle semble cibler pourraient indiquer une campagne d’espionnage visant à tenter de collecter des informations sur une liste restreinte de personnes.
Nous avons demandé à Gary Miller, chercheur en sécurité chez Citizen Lab et expert en espionnage mobile, d’examiner également le code de phishing et certaines des données exposées du serveur de l’attaquant.
Miller a déclaré que l’attaque « avait certainement les caractéristiques d’une campagne de spearphishing liée au CGRI », faisant référence à des piratages de courrier électronique très ciblés menés par le Corps des Gardiens de la révolution islamique (CGRI), une faction de l’armée iranienne connue pour mener des cyberattaques. Miller a souligné un mélange d’indices, notamment la portée internationale du ciblage des victimes, le vol d’identifiants, l’abus de plateformes de messagerie populaires comme WhatsApp et les techniques d’ingénierie sociale utilisées dans le lien de phishing.
Le cas où il pourrait s’agir d’un acteur motivé financièrement
D’un autre côté, un pirate informatique motivé par des raisons financières pourrait utiliser le même mot de passe Gmail et le même code à deux facteurs volés à une autre cible de grande valeur, telle qu’un dirigeant d’entreprise, pour voler des informations commerciales confidentielles et sensibles dans sa boîte de réception. Le pirate informatique pourrait également forcer la réinitialisation des mots de passe de la crypto-monnaie et des comptes bancaires de sa victime pour vider son portefeuille.
L’accent mis par la campagne sur l’accès à la localisation de la victime et aux médias de son appareil est cependant inhabituel pour un acteur motivé financièrement, qui n’a peut-être que peu d’utilité pour les images et les enregistrements audio.
Nous avons demandé à Ian Campbell, chercheur en menaces chez DomainTools, qui aide à analyser les enregistrements Internet publics, d’examiner les noms de domaine utilisés dans la campagne pour comprendre quand ils ont été créés pour la première fois et si ces domaines étaient connectés à une autre infrastructure connue ou identifiée précédemment.
Campbell a constaté que même si la campagne ciblait les victimes au milieu des manifestations nationales en cours en Iran, son infrastructure avait été mise en place il y a des semaines. Il a ajouté que la plupart des domaines liés à cette campagne ont été enregistrés début novembre 2025 et qu’un domaine associé a été créé il y a quelques mois en août 2025. Campbell a décrit les domaines comme présentant un risque moyen à élevé et a déclaré qu’ils semblent être liés à une opération de cybercriminalité motivée par des motivations financières.
Un problème supplémentaire est que le gouvernement iranien est connu pour sous-traiter les cyberattaques à des groupes de piratage criminels, probablement pour dissimuler son implication dans des opérations de piratage contre ses citoyens. Le Trésor américain a par le passé sanctionné des entreprises iraniennes pour avoir servi de façade au CGRI iranien et mené des cyberattaques, telles que le lancement d’attaques ciblées de phishing et d’ingénierie sociale.
Comme le note Miller : « Cela fait ressortir le fait que cliquer sur des liens WhatsApp non sollicités, aussi convaincants soient-ils, est une pratique dangereuse et à haut risque. »
Pour contacter ce journaliste en toute sécurité, vous pouvez le contacter en utilisant Signal via le nom d’utilisateur : zackwhittaker.1337.
Lorenzo Franceschi-Bicchierai a contribué au reportage.
