Un groupe de pirates informatiques en provenance d’Iran, connu sous le nom de «Tortoiseshell», utilisait Facebook pour collecter des informations sur des cibles.
Facebook a annoncé jeudi avoir mis au jour et bloqué les agissements sur sa plateforme d’un groupe de hackers basé en Iran, ciblant du personnel de la défense et de l’aérospatiale aux États-Unis et en Europe. Ce groupe de pirates informatiques, connu sous le nom de «Tortoiseshell», utilisait Facebook pour collecter des informations sur des cibles, les attirer hors de la plateforme et infecter leurs appareils pour les espionner.
Ils visaient le personnel militaire, les entreprises des secteurs de la défense et de l’aérospatiale principalement aux États-Unis et dans une moindre mesure au Royaume-Uni et en Europe. «Il est difficile pour nous de savoir à quel point cette campagne a été un succès, mais elle avait toutes les caractéristiques d’une opération bien financée», a indiqué jeudi le responsable des enquêtes sur le cyberespionnage à Facebook, Mike Dvilyanski.
Différentes tactiques
Le réseau social était l’un des éléments de l’opération de cyberespionnage multiplateforme beaucoup plus large, a indiqué Facebook. L’incursion sur le réseau social se faisait par différentes tactiques, comme le déploiement de faux personnages en ligne sophistiqués pour contacter les cibles et bâtir leur confiance pour qu’ils cliquent sur des liens malveillants.
Les pirates se faisaient passer pour des recruteurs, des employés de société de défense, voire des journalistes ou du personnel d’hôtel. Sur le web, le groupe a créé des noms de domaines et des sites usurpant l’identité de sites officiels comme celui d’un site de recherche d’emplois du département américain du Travail.
Logiciels malveillants personnalisés
Les pirates utilisaient aussi des logiciels malveillants personnalisés, «uniques à leurs opérations», qui, selon Facebook, se sont révélés avoir des liens indirects avec les Gardiens de la Révolution en Iran. Ils étaient introduits sur les appareils des victimes et étaient conçus pour glaner des informations, y compris les identifiants de connexion aux e-mails professionnels ou aux réseaux sociaux. Selon Mike Dvilyanski, une partie de ces codes a été développée par la société de technologie Mahak Rayan Afraz (MRA) basée à Téhéran, qui a des liens avec le corps des Gardiens de la Révolution, l’armée idéologique de la République islamique d’Iran.
«Nous n’avons pas de preuve que Tortoiseshell soit directement liée à un gouvernement mais pour autant que je sache, c’est la première fois qu’on attribue publiquement les codes malveillants du groupe à une compagnie ayant des liens avec les Gardiens de la révolution», a-t-il ajouté lors d’une conférence téléphonique. Facebook a bloqué quelque 200 comptes qui étaient ainsi utilisés pour duper leurs cibles et les inviter à se connecter hors du réseau social sur des sites fallacieux. Un peu moins de 200 utilisateurs ont été victimes de ces subterfuges et ils ont été prévenus par Facebook. Le réseau social a indiqué avoir partagé ses découvertes avec ses partenaires sur internet de même qu’avec les autorités.
