Lookout découvre un logiciel espion Android lié à la police iranienne.

AVIS D’EXPERT

Les chercheurs du Lookout Threat Lab ont découvert un nouvel outil de surveillance Android attribué au Commandement des forces de l’ordre de la République islamique d’Iran (FARAJA). Baptisé BouldSpy pour la classe « BoulderApplication » qui configure la commande et le contrôle (C2) de l’outil, Lookoout suit le logiciel espion depuis mars 2020. À partir de 2023, le logiciel malveillant a attiré l’attention des chercheurs en sécurité sur Twitter et d’autres membres de la communauté du renseignement sur les menaces, qui l’ont qualifié de botnet Android et de ransomware. Bien que BouldSpy comprenne un code de ransomware, les chercheurs de Lookout estiment qu’il est inutilisé et non fonctionnel, mais qu’il pourrait indiquer un développement en cours ou une tentative de détournement de la part de l’acteur.

D’après l’analyse de Lookout des données exfiltrées des serveurs C2 du logiciel espion, BouldSpy a fait plus de 300 victimes, y compris des groupes minoritaires tels que les Kurdes iraniens, les Baloutches, les Azéris et peut-être des groupes chrétiens arméniens. Les preuves recueillies indiquent que le logiciel espion pourrait également avoir été utilisé dans le cadre de la lutte contre les trafics illégaux d’armes, de stupéfiants et d’alcool et de la surveillance de ces trafics. Les experts Lookout pensent que la FARAJA utilise l’accès physique aux appareils, probablement obtenu pendant une détention, pour installer BouldSpy afin de surveiller davantage la cible après sa libération. Dans le cadre de leurs recherches, ils ont obtenu et examiné une grande quantité de données exfiltrées comprenant des photos et des communications sur l’appareil, telles que des captures d’écran de conversations, des enregistrements d’appels vidéo, ainsi que des SMS. L’analyse de Lookout a également révélé des photos de drogues, d’armes à feu et de documents officiels de la FARAJA qui indiquent une utilisation potentielle du logiciel malveillant par les forces de l’ordre. Cependant, la plupart des données relatives aux victimes indiquent une utilisation plus large, qui témoigne d’efforts de surveillance ciblés sur les minorités en Iran. Notamment, la plupart des activités du logiciel malveillant ont eu lieu au plus fort des manifestations de Mahsa Amini à la fin de l’année 2022.

Lookout estime que BouldSpy est une nouvelle famille de logiciels malveillants en raison du nombre relativement faible d’échantillons obtenus, ainsi que du manque de maturité de sa sécurité opérationnelle, comme le trafic C2 non chiffré, les détails de l’infrastructure C2 en clair codés en dur, l’absence d’obscurcissement des chaînes de caractères et l’incapacité à dissimuler ou à supprimer les artefacts d’intrusion. Jusqu’à présent, à la connaissance de Lookout, les applications découvertes n’ont jamais été distribuées via Google Play. Les premiers emplacements exfiltrés des victimes sont, à quelques exceptions près, concentrés près des postes de police provinciaux iraniens, des postes de la cyberpolice iranienne, des installations du commandement des forces de l’ordre et des postes de contrôle des frontières. Sur cette base, Lookout suppose que l’appareil d’une victime est confisqué une fois qu’elle est détenue ou arrêtée, et qu’il est ensuite physiquement infecté par BouldSpy.