Fuite de données :
les opérations de « Charming Kitten » révélées

Au fil des années, le groupe « Charming Kitten » (alias APT35, Phosphorus, Mint Sandstorm) s’est imposé comme un des acteurs incontournables de l’appareil cyber offensif iranienne. Affilié à l’IRGC (Corps des Gardiens de la Révolution islamique), il a longtemps été considéré comme une unité de renseignement numérique, focalisée sur l’espionnage et les opérations d’influence, plutôt que sur les attaques destructrices.

A ses débuts, le groupe combine phishing sophistiqué, ingénierie sociale et exploitation de vulnérabilités logicielles dans le cadre d’opérations de longue durée pour infiltrer des cibles gouvernementales, académiques, médiatiques, diplomatiques et civiles. Au fil des années, ses méthodes se sont raffinées, dès lors l’usage de fausses identités (journalistes, universitaires, ONG), la création de sites-miroirs, et le recours à du matériel sur mesure (malwares, RATs, outils sur-mesure) occupe une place à part entière dans son arsenal.

Jusqu’à récemment, la structure interne exacte du groupe (répartition des équipes, organigramme, cycles de mission, contraintes bureaucratiques) demeurait opaque. Le 30 septembre 2025 marque un tournant dans cette dynamique. En effet, une vaste fuite de documents internes à la cellule a émergé sur une plateforme publique révélant pour la première fois des informations du cœur du fonctionnement de Charming Kitten. Ces éléments montrent que le groupe ne se limite plus à des opérations furtives, mais opère dans un cadre défini avec une organisation claire et défini.

Au-delà de l’organisation, la fuite de ces données à permis de mettre au jour des campagnes de cyber attaques au Moyen-Orient. En effet, des pays comme l’Afghanistan, Israël, la Jordanie, l’Arabie saoudite, la Turquie ou encore les Émirats Arabes Unis figurent parmi la liste des victimes de cette unité.

L’analyse de ces documents internes offre donc une perspective inédite sur les décisions, priorités, contraintes internes, et chaînes de commandement, éclairant ainsi la structuration réelle des cyber-opérations iraniennes dans la région, un jalon majeur pour mieux comprendre les menaces à venir.

Les informations obtenues se composent de plusieurs éléments distincts :

Guides pratiques et tutoriels d’attaque : 

• Un manuel détaillé sur le phishing et la récupération d’identifiants.
• Un guide sur l’exploitation de CVE, en particulier les vulnérabilités concernant PHP-CGI, ConnectWise et Ivanti.
• Des documentations sur la post-exploitation et le maintien de l’accès dans les systèmes d’information.

Informations sur la gestion des campagnes et documents internes : 

• Des détails sur les opérations menées par les employés, leurs cibles, ainsi que leurs fiches de pointage.
• Des fiches synthétiques sur les campagnes en cours, des plans d’évolution et d’autres documents internes relatifs à l’avancement des « projets ».

Données techniques : 

• L’ensemble des éléments techniques nécessaires au bon déroulement des opérations : plans de réseau, listes de cibles et rapports de scans de vulnérabilités. En somme, tous les composants de planification d’une attaque et les essentiels pour réaliser des actions malicieuses à grande échelle.

Données d’exfiltration : 

• Un certain nombre de bases de données et d’identifiants compromis.
• Des documents, comme une compilation d’e-mails du ministère afghan des Affaires tribales et des Frontières.
• Des informations sur des juges et avocats saoudiens.

Listes de cibles : 

• Une portion significative des documents est constituée de la liste des infrastructures ciblées et des informations collectées sur ces dernières.

Toutes ces données permettent une compréhension approfondie du groupe. Quatre grands pôles se distinguent au sein de cette organisation :

• Le commandement des opérations : son rôle est de définir les objectifs de haut niveau, d’assigner les campagnes et les cibles aux chefs d’équipe, de prétraiter les rapports et de gérer les budgets.
• Les chefs de projet/chefs d’équipe : au nombre de deux, ils gèrent principalement la partie reporting. L’un est responsable de l’offensive contre la Jordanie et de l’exploitation de ConnectWise à grande échelle. L’autre supervise les campagnes d’OSINT (renseignement de sources ouvertes) permettant d’obtenir les accès préliminaires sur les systèmes, ainsi que la campagne contre Israël.
• Les opérateurs spécialisés : chaque opérateur possède un rôle relativement spécifique.

1. 1. > Le premier se consacre aux attaques contre l’État hébreu, réalisant principalement des scans de masse.
   2. > Le deuxième, expert en recherche de vulnérabilités, se focalise sur l’identification de CVE sur les services exposés tels que GitLab, WordPress ou Confluence.
   3. > Le troisième a pour spécialité de créer et de maintenir les outils nécessaires à la conduite des opérations.
   4. > Le quatrième et dernier opérateur est spécialisé dans les campagnes d’influence sur les réseaux sociaux et la gestion de la logistique indispensable au bon déroulement des missions.

• Les opérateurs génériques : ils effectuent toutes les tâches demandant peu de compétences techniques et exécutent les basses besognes des managers et des spécialistes.

Sur la base de ces informations, nous avons pu reconstituer un flux de travail potentiel :

• Le commandement assigne un projet de campagne d’attaque ;
• Le chef de projet désigne les opérateurs ;
• Les opérateurs recherchent des infrastructures exploitables, des moyens de persistance sur les machines et développent leurs capacités d’évasion des systèmes de détection en place ;
• Un autre opérateur réalise l’intrusion, et le chef d’équipe rend compte au management de la suite des opérations.

La multiplicité des attaques du groupe, référencées dans les documents, rend l’élaboration d’un profil de cible complexe. Malgré cela, les analystes de la Purple Team Gatewatcher ont identifié deux grandes catégories d’attaques menées par ce groupe :

Les campagnes visant des pays et leurs institutions 

Ce type d’opération s’inscrit dans une volonté de collecte d’informations à long terme contre des cibles stratégiques pour l’Iran. Il s’agit, pour la plupart, d’offensives combinant le cyber et la lutte d’influence.

• Opération shattered mirror (cible : Israël, 2023-2024) : Cette offensive s’apparente à la préparation d’une opération de lutte d’influence. En effet, en obtenant des accès sur des points névralgiques tels que des modems ou des routeurs largement utilisés, les attaquants peuvent observer l’utilisation des réseaux par le grand public afin de mener des opérations de surveillance de masse. En parallèle, les sites commerciaux sont également touchés ; ils représentent un point d’intérêt pour la récupération de données, notamment de nombreux identifiants, dans un but similaire. Enfin, une identification des opposants politiques au régime israélien est également effectuée en vue de mener des campagnes de phishing. Cette dernière action vise particulièrement les participants à une conférence nommée « Israel, a shattered mirror ». Il est possible que cet événement ait été créé de toutes pièces par les services iraniens pour regrouper des opposants politiques, car il n’existe aucun autre indicateur de sa tenue. L’opération de spear phishing visait à créer de fausses « cartes d’entrée » pour les participants. Le but de cette partie de l’opération pourrait être de transformer ces opposants en informateurs à leur insu.

• Opération desert breach (cible : Jordanie, 2024- nos jours) : Elle se caractérise par la compromission du ministère de la Justice, d’académies universitaires et de professionnels du droit comme des cabinets d’avocats. La majeure partie de cette campagne repose sur l’exploitation d’une CVE de 2012, CVE-2012-1823. Cette vulnérabilité permet l’exécution de code à distance sur des applications utilisant PHP-CGI. En plus de cette exploitation, une persistance est établie via des webshells. L’opération a été un succès pour APT35, puisque plus de 74 Go de données ont été exfiltrées et une cartographie complète des systèmes des cabinets d’avocats a été réalisée.

• Opération afghan infiltration (cible : Afghanistan, 2021) : Elle cible spécifiquement les systèmes de télécommunications et les organes gouvernementaux afghans. Les cibles étatiques sont le ministère des Affaires tribales et des Frontières et le ministère des Réfugiés et du Rapatriement. Ces deux ministères constituent un pivot important en matière de renseignement, car ils permettent d’identifier les entrées et les sorties des ressortissants. Combinée à la compromission des services de télécommunication afghans, cette opération a permis l’exfiltration d’e-mails et de comptes internes, assurant une surveillance et un maintien dans les systèmes sur le long terme.

Les campagnes opportunistes, opération Swiftstrike

En plus de ces campagnes ciblées, d’autres opérations purement opportunistes sont menées par cette cellule en 2024. Lors de l’identification des vulnérabilités sur les produits ConnectWise et Ivanti, une campagne a été lancée contre la Turquie, l’Arabie Saoudite, la Jordanie et les Émirats. Durant cette offensive, qui semble présenter un grand intérêt pour Charming Kitten, les reconnaissances ont été effectuées via des outils de scans massifs open-source et parfois en ligne, comme Shodan ou Censys.

Synthèse des vulnérabilités et méthodes d’exploitation

Dans le tableau récapitulatif précédent, il est aisé de remarquerOn observe clairement que toutes ces attaques utilisent le réseau et sont donc identifiables via la mise en place de sondes NDR (Network Detection and Response). L’utilisation combinée de moteurs de détection permet de mettre en place une défense en profondeur, capable de stopper l’attaquant dès la phase de reconnaissance. Les attaquants qui s’appuient principalement sur des scans massifs pour leurs phases de reconnaissance sont facilement détectables par les systèmes NDR car ces activités génèrent des signaux réseau. Cette détection précoce permet ainsi une réaction rapide et le blocage anticipé de la menace. Dans le cas où ces scans passeraient par des tiers, les tentatives d’exploitation des services seraient elles aussi identifiées. L’attaquant serait alors stoppé aux prémices de son attaque, là où un EDR (Endpoint Detection and Response) ne pourrait détecter l’intrusion qu’une fois sur le poste. Pour être plus précis, la détection des outils Gatewatcher permet, grâce à la combinaison des moteurs, de couvrir les menaces décrites dans cet article.

En analysant le trafic interne et externe en continu, le NDR identifie les comportements anormaux, ce qui permet de repérer et de stopper les attaquants avant qu’ils n’atteignent leurs objectifs.

Cette fuite de données est riche d’enseignements sur les méthodes employées par APT35. Au-delà d’attaques peu sophistiquées, ces documents nous permettent de mieux cerner les objectifs des attaquants tout en dévoilant leurs modes opératoires. Grâce à l’évaluation des TTPs (Tactiques, Techniques et Procédures), nous sommes en mesure de construire une défense en profondeur efficace et adaptée à la menace. De telles fuites de documents, avec un niveau de détail aussi important, sont rares et précieuses ; il convient donc de les étudier et de les comprendre afin de bloquer les cyberattaques de façon durable.

Annexe 1: Mitre Att&ck charming kitten en fonction des documents fuités

Matrice MITRE ATT&CK® pour l’Unité Opérationnelle de Charming Kitten

Ce tableau détaille les comportements de l’adversaire observés dans les renseignements fournis, mappés aux tactiques et techniques ATT&CK correspondantes.

Annexe 2: lexique Lexique

• APT (Advanced Persistent Threat) : Désigne un groupe d’attaquants (souvent parrainé par un État) qui mène des cyberattaques complexes, furtives et à long terme contre une cible spécifique pour voler des informations, saboter des opérations ou espionner. APT35 est le nom donné au groupe « Charming Kitten ».
• C2 (Commande et Contrôle) : Fait référence à l’infrastructure (serveurs, réseaux) utilisée par les attaquants pour communiquer avec les systèmes compromis, leur envoyer des instructions et en exfiltrer des données.
• CVE (Common Vulnerabilities and Exposures) : Est un dictionnaire public qui répertorie les vulnérabilités de sécurité informatique connues. Chaque vulnérabilité reçoit un identifiant unique (ex : CVE-2012-1823) pour faciliter son suivi.
• EDR (Endpoint Detection and Response) : Solution de sécurité qui surveille en continu les terminaux (ordinateurs, serveurs) pour détecter les menaces et y répondre rapidement.
• Hameçonnage (Phishing) : Technique de fraude visant à obtenir des informations sensibles (identifiants, mots de passe, détails de cartes de crédit) en se faisant passer pour une entité de confiance dans un e-mail ou un autre moyen de communication électronique. Le spear phishing est une forme ciblée d’hameçonnage dirigée contre une personne ou une organisation spécifique.
• Injection SQL : Type d’attaque qui consiste à insérer une portion de code SQL malveillant dans une requête pour manipuler une base de données et accéder à des informations confidentielles.
• MITRE ATT&CK® : Base de connaissances accessible au public qui répertorie les tactiques et techniques des cyberattaquants, basée sur des observations du monde réel. Elle est utilisée pour modéliser les menaces et améliorer la défense.
• NDR (Network Detection and Response) : Approche de sécurité qui analyse le trafic réseau pour détecter les comportements malveillants ou anormaux et y répondre.
• OSINT (Open-Source Intelligence) : Renseignement issu de sources d’information accessibles au public (sites web, réseaux sociaux, publications) pour collecter des informations sur une cible.
• Persistance : Technique utilisée par un attaquant pour maintenir son accès à un système compromis, même après un redémarrage ou une mise à jour.
• RCE (Remote Code Execution / Exécution de code à distance) : Vulnérabilité qui permet à un attaquant d’exécuter des commandes de son choix sur une machine distante via un réseau.
• Reverse Shell : Technique où la machine compromise initie une connexion sortante vers l’attaquant. Cela permet à ce dernier de prendre le contrôle de la machine, contournant souvent les pare-feux qui bloquent les connexions entrantes.
• TTPs (Tactiques, Techniques et Procédures) : Décrit le comportement d’un acteur de la menace. Les tactiques représentent l’objectif de l’attaquant, les techniques la manière dont il atteint cet objectif, et les procédures les implémentations spécifiques de ces techniques.
• Webshell : Script malveillant téléchargé sur un serveur web par un attaquant, lui permettant d’exécuter des commandes à distance sur ce serveur et de maintenir un accès.