{"id":176223,"date":"2026-03-16T08:09:32","date_gmt":"2026-03-16T15:09:32","guid":{"rendered":"https:\/\/unit42.paloaltonetworks.com\/?p=176223"},"modified":"2026-03-27T08:42:41","modified_gmt":"2026-03-27T15:42:41","slug":"evolution-of-iran-cyber-threats","status":"publish","type":"post","link":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/evolution-of-iran-cyber-threats\/","title":{"rendered":"L\u2019\u00e9volution de la cybermenace iranienne : des wipers MBR \u00e0 l\u2019instrumentalisation des identit\u00e9s"},"content":{"rendered":"

Les r\u00e9centes cyberattaques attribu\u00e9es \u00e0 des acteurs de menace iraniens<\/a> vont au-del\u00e0 d'une simple perturbation de r\u00e9seau. Loin de constituer des incidents de sabotage isol\u00e9s, ce type d'attaque s'inscrit dans un contexte plus large, marqu\u00e9 par le recours de l'Iran \u00e0 des repr\u00e9sailles asym\u00e9triques et \u00e0 sa doctrine historique de guerre par procuration (proxy doctrine<\/em>). Les acteurs de la menace li\u00e9s \u00e0 l'Iran utilisent de plus en plus le cyberespace pour compenser un d\u00e9s\u00e9quilibre de forces.<\/p>\n

Pour le Corps des Gardiens de la r\u00e9volution islamique (CGRI) et le Minist\u00e8re du Renseignement et de la S\u00e9curit\u00e9 (MOIS), les cyber-op\u00e9rations constituent un m\u00e9canisme de repr\u00e9sailles \u00e0 faible co\u00fbt et \u00e0 fort impact, affranchi de toute fronti\u00e8re.. Dans cet environnement, les organisations mondiales font face \u00e0 un risque cyber accru, o\u00f9 le d\u00e9ploiement de malwares traditionnels convergent avec de nouvelles formes d\u2019usurpation d\u2019identit\u00e9. Le passage de malwares de type wiper personnalis\u00e9s \u00e0 l'abus d'outils d'administration natifs supprime un garde-fou de d\u00e9tection essentiel qui prot\u00e9geait historiquement les r\u00e9seaux d'entreprise.<\/p>\n

<\/a>Des binaires personnalis\u00e9s \u00e0 l\u2019usurpation d\u2019identit\u00e9<\/h2>\n

Le virage tactique actuel des cyber-acteurs iraniens s'explique moins par un manque de capacit\u00e9s de d\u00e9veloppement de malwares que par les avantages strat\u00e9giques des techniques de type living-off-the-land<\/em> (LotL). Les op\u00e9rations visant \u00e0 provoquer des perturbations ont \u00e9volu\u00e9 depuis 2023 : au lieu de s'appuyer massivement sur des outils sur mesure, les m\u00e9thodes employ\u00e9es s'inscrivent d\u00e9sormais dans une tendance plus large de changement d'\u00e9chelle et une plus grande furtivit\u00e9.<\/p>\n

Lors des r\u00e9cents incidents impliquant des wipers, les acteurs de menace op\u00e9rant sous le pseudonyme Void Manticore (Handala) n'ont pas d\u00e9ploy\u00e9 de wiper inconnus jusqu\u2019alors ni de malwares traditionnels. \u00c0 la place, les attaquants ont compromis des identit\u00e9s \u00e0 hauts privil\u00e8ges pour lancer des commandes de suppression \u00e0 distance (remote-wipe<\/em>) sur plus de 200 000 appareils \u00e0 travers le monde.<\/p>\n

Ce passage des binaires personnalis\u00e9s \u00e0 l'abus administratif illustre une nouvelle dynamique. Dans ce contexte, les groupes APT iraniens semblent de plus en plus percevoir les outils d'administration d'entreprise non plus seulement comme des infrastructures informatiques, mais comme des actifs pouvant \u00eatre transform\u00e9s en armes (weaponizable assets<\/em>) au sein d'un cadre de perturbation plus vaste. Cette distinction est cruciale pour comprendre comment les acteurs li\u00e9s \u00e0 l'\u00e9tat iranien per\u00e7oivent les plateformes de gestion des appareils mobiles (MDM - Mobile Device Management<\/em>) : non pas comme des outils de gestion, mais comme des vecteurs d'attaque \u00e0 fort impact permettant de contourner la t\u00e9l\u00e9m\u00e9trie traditionnelle des solutions EDR (Endpoint Detection and Response)<\/em>.<\/p>\n

<\/a>Gravir les \u00e9chelons de l'escalade<\/h2>\n

D\u00e8s 2012<\/a> et 2016, les acteurs iraniens lan\u00e7aient d'importantes op\u00e9rations de perturbation dans la r\u00e9gion. En retra\u00e7ant l'historique de leurs cyber-repr\u00e9sailles contre ce qu'ils per\u00e7oivent comme des affronts g\u00e9opolitiques, nous observons un sch\u00e9ma clair d'escalade des capacit\u00e9s et des intentions au cours de la derni\u00e8re d\u00e9cennie parmi les groupes li\u00e9s au CGRI et au MOIS.<\/p>\n

<\/a>Les instruments contondants (2016-2019)<\/h3>\n

Au cours de cette p\u00e9riode, des groupes d'acteurs de menace tels que Curious Serpens<\/a> (APT33, Elfin) et Evasive Serpens<\/a> (APT34, OilRig) ont cibl\u00e9 les infrastructures informatiques avec des wipers (effacement de disque) tr\u00e8s visibles.<\/p>\n