Acteurs iraniens du CGRI attribuent des cyberattaques de sabotage contre la France

🏛️ Contexte

Publié le 09/11/2026 par le CERT-FR (CERTFR-2026-CTI-009), ce rapport d’imputation émanant du Centre de Coordination des Crises Cyber (C4 — regroupant ANSSI, COMCYBER, DGA, DGSE et DGSI) attribue formellement plusieurs cyberattaques à des fins de sabotage et de déstabilisation contre la France à deux unités cyber-offensives du Corps des Gardiens de la Révolution Islamique iranien (CGRI), opérant au sein du Centre électronique et cyber du CGRI (CGRI-CEC).

💥 Attaque principale : sabotage des contrôleurs de réfrigération (11-12 octobre 2026)

Attribuée à l’unité Shahid Kaveh, cette attaque constitue l’événement central du rapport :

• Cibles : contrôleurs de froid de ~700 sites de grande distribution en France (Casino, Leclerc, Coopérative U, Metro, Carrefour, Intermarché) ainsi que des boucheries, un abattoir et des usines agroalimentaires coopératives
• Vecteur : compromission nocturne des contrôleurs de réfrigération, modification des paramètres de dégivrage à haute température
• Impact : pertes de marchandise importantes, au moins 15 départs de feu
• Cible secondaire concomitante : équipements Schneider Electric de petites installations hydroélectriques françaises, avec effets modérés

🔍 Éléments d’imputation à Shahid Kaveh

• Infrastructure d’attaque également utilisée pour de la reconnaissance sur équipements Schneider Electric via protocole Modbus / port 502 (TTP connue de l’unité depuis avril 2026)
• Utilisation de l’outil de scan FOFA, habituellement associé à ce mode opératoire
• Revendication dès le 13 octobre 2026 sur l’organe de propagande CyberbanNews, associé à Shahid Kaveh
• Traces de farsi retrouvées dans l’infrastructure d’attaque

👤 Unité Shahid Kaveh — Profil

• Dirigée par Reza Salarvand et Mahdi Lashgarian
• Avatars hacktivistes : CyberAveng3rs, Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front
• Organe de communication : CyberbanNews
• Campagnes notables : ciblage de Unitronics (nov. 2023), sabotage d’équipements frigorifiques israéliens et américains (mars-avril 2026)
• Possession depuis juin 2024 de scripts pour scanner/accéder/contrôler des équipements Schneider Electric, Siemens et Rockwell

📅 Attaques historiques — Unité Shahid Shoostari (alias Emennet Pasargad / Iliyanet)

• 2020 : ciblage de Charlie Hebdo (représailles aux caricatures du Prophète), révélé en 2021 par Lab Dookhtegan
• 4 janvier 2023 : défiguration de la boutique en ligne de Charlie Hebdo + exfiltration de la base de données clients (contexte : publication de caricatures d’Ali Khamenei)
• À partir du 20 juillet 2024 : compromission d’une société française de gestion de bornes d’affichage vidéo dans le cadre des JOP2024, tentative de diffusion de photomontages anti-israéliens ; utilisation de deux adresses IP d’opérateurs iraniens ; images publiées d’abord sur un compte Instagram en persan, relayées sur X et dans jahannews[.]com

🏗️ Nature du document

Il s’agit d’un rapport d’imputation officiel et public (TLP:CLEAR) produit par une instance interministérielle française, visant à documenter et attribuer formellement des opérations cyber offensives iraniennes contre des intérêts français sur une période de six ans.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Shahid Kaveh (state-sponsored) —
• Shahid Shoostari (state-sponsored) —
• Emennet Pasargad (state-sponsored) — orkl.eu · Malpedia
• CyberAveng3rs (hacktivist) —

TTP

• T0840 — Network Connection Enumeration (Discovery)
• T0888 — Remote System Information Discovery (Discovery)
• T0855 — Unauthorized Command Message (Impair Process Control)
• T1595.001 — Active Scanning: Scanning IP Blocks (Reconnaissance)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1485 — Data Destruction (Impact)
• T1491.002 — Defacement: External Defacement (Impact)
• T1530 — Data from Cloud Storage (Collection)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• Domaines : jahannews.com — VT · URLhaus · ThreatFox

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• FOFA (tool)

🟢 Indice de vérification factuelle : 71/100 (haute)

• ✅ cert.cyber.gouv.fr — source reconnue (liste interne) (20pts)
• ✅ 9783 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ 0/1 IOCs confirmés externellement (0pts)
• ✅ 9 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Shahid Kaveh, Shahid Shoostari, Emennet Pasargad (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-009/