Et si, derrière le bandeau violet « Hiring », se cachait en réalité un cyberespion au service du régime de Téhéran ?
D’après les chercheurs de l’entreprise de cybersécurité suisse PRODAFT, un groupe de hackers iraniens aurait pris pour cible plusieurs entreprises des télécommunications, notamment en Europe.
Pour infiltrer ce secteur hautement stratégique, les pirates se seraient fait passer pour des recruteurs sur LinkedIn, approchant des employés en prétendant être à la recherche de nouveaux talents.
Une campagne de phishing ultra-ciblée, mêlant collecte d’informations et déploiement de malwares espions. Selon l’étude, parue le 17 septembre 2025, au moins 34 appareils auraient été compromis dans 11 organisations à travers le monde, du Canada aux Émirats arabes unis, en passant par le Royaume-Uni et la France.
Des échanges réguliers pour gagner la confiance des victimes
Dans cette attaque, la première phase consiste en la reconnaissance des cibles, et c’est précisément dans ce contexte que LinkedIn devient un outil précieux pour les cyberespions iraniens.
Ils identifient le personnel clé au sein des organisations visées, en ciblant particulièrement les chercheurs, les développeurs et les administrateurs informatiques disposant d’un accès privilégié aux systèmes critiques et aux environnements de développement.
La seconde phase est celle du lancement de la fausse campagne de recrutement. Les attaquants créent de faux profils RH et prennent contact avec leurs cibles potentielles. Pour ne pas éveiller les soupçons, ils ne proposent pas immédiatement d’offre d’emploi, mais instaurent progressivement un climat de confiance afin d’augmenter leurs chances de réussite. Cette campagne se distingue par le soin apporté par les hackers, qui adaptent leurs messages en fonction de chaque victime.
Si la cible manifeste un intérêt, elle est ensuite recontactée par mail pour fixer un entretien. Elle est alors redirigée vers un site frauduleux, imitant des entreprises légitimes comme le groupe Safran. La saisie d’informations pour remplir le formulaire déclenche automatiquement le téléchargement d’une archive ZIP piégée.
Le fichier contient un programme piégé qui, une fois ouvert, installe un logiciel espion appelé MINIBIKE. D’après les analyses techniques de PRODAFT, ce malware permet aux pirates de rester discrètement présents sur les machines infectées. Et, ce sur une longue période : « Ils ne se contentent pas d’infecter les appareils ; ils recherchent activement des données sensibles et des moyens de préserver leur accès. ».
Un groupe déjà connu des chercheurs en menaces cyber
Cette campagne est d’autant plus marquante qu’elle ait attribuée à un groupe de cyberespions accusé d’être directement affilié au Corps des gardiens de la révolution islamique (CGRI) iranien.
PRODAFT les surnomme Subtle Nail, Mandiant les répertorie pour le moment comme activité UNC1549.
Le groupe partagerait de nombreuses caractéristiques avec APT42 (alias Charming Kitten, Educated Manticore…), déjà impliqué dans des campagnes d’infiltration ciblant des secteurs stratégiques, en utilisant systématiquement l’ingénierie sociale comme principale arme d’attaque.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !