Ravin Academy recrute la plus grande promotion d'étudiants en cybersécurité de son histoire à un moment de conflit ouvert entre les États-Unis et l'Iran, alors que le nombre de cyberattaques contre les infrastructures américaines attribuées à l'Iran est déjà en hausse. La décision de sanctions du département du Trésor des États-Unis concernant Ravin indique que l'académie a précédemment fourni des recrues au ministère du Renseignement et de la Sécurité de l'Iran (MOIS), tandis que d'autres analystes reconnus estiment que Ravin a probablement formé des groupes de hackers iraniens responsables d'attaques contre les infrastructures critiques d'États opposés au gouvernement iranien. Tout cela indique ensemble qu'après la formation, les étudiants de Ravin pourraient venir grossir les rangs des unités cyber-militaires de l'Iran.
Une analyse fondée sur la surveillance des canaux de communication ouverts utilisés par Ravin et ses étudiants permet d'évaluer l'ampleur et la portée de la dernière activité de l'académie.
Ravin Academy recrute la plus grande promotion d'étudiants de son histoire
Ravin Academy, une entreprise iranienne qui forme des spécialistes en cybersécurité, propose à des centaines de jeunes Iraniens jusqu'à un an de formation gratuite en cybersécurité. Le programme, appelé Nam-Avar Educational Scholarship Plan, est ouvert aux citoyens iraniens âgés de 17 à 30 ans de toutes les régions du pays, et l'admission se fait sur la base des résultats d'un examen concours national. Ravin a annoncé de 600 à 1,200 places disponibles, ce qui fait de ce programme le plus grand annoncé publiquement par l'académie depuis le début de ses activités en 2020. Ravin Academy affirme que le cours est fourni gratuitement grâce au parrainage de sociétés iraniennes non nommées.
Ravin Academy explique que le programme Nam-Avar est gratuit pour tous les participants, et que les exigences et obligations des étudiants sont détaillées dans des messages sur Bale - une plateforme de messagerie iranienne.
Il y a quatre ans, le département du Trésor des États-Unis a imposé des sanctions à Ravin Academy et à deux de ses cofondateurs - Seyed Mojtaba Mostafavi et Farzin Karimi. Les autorités américaines ont déclaré que l'académie forme les étudiants à la cybersécurité et aux méthodes de piratage, et recrute également des employés pour le MOIS parmi ses étudiants. D'autres analystes ont conclu que Ravin Academy a probablement formé des hackers liés au groupe iranien MuddyWater, également connu sous le nom de Yellow Nix, responsable de cyberattaques contre des organismes gouvernementaux, des institutions financières et des organisations médicales dans toute la région du Moyen-Orient et de l'Afrique du Nord (MENA). L'analyse montre que Ravin a précédemment fait la promotion de programmes qui permettaient aux participants d'effectuer le service militaire obligatoire tout en travaillant simultanément comme spécialistes en cybersécurité dans une entreprise privée au service des fournisseurs d'infrastructures critiques de l'Iran. Dans le contexte du conflit en cours entre les États-Unis et l'Iran, les informations disponibles permettent de supposer que les diplômés de Ravin Academy pourraient à l'avenir utiliser les compétences acquises dans le cadre de la cyberguerre.
L'intérêt pour la bourse grandit dans les canaux de discussion de Ravin
Le nombre mensuel de messages dans trois canaux Telegram contrôlés par Ravin Academy, de mars 2020 à juillet 2026. La fréquence des publications de l'académie n'a pas changé après l'imposition de sanctions à son encontre en octobre 2022.
Sur le canal officiel de l'académie, le volume de publications est resté stable après l'imposition des sanctions et au cours des années suivantes. Cependant, l'activité dans le groupe de soutien aux examens et dans le groupe étudiant non officiel - où les participants discutent de tout, des cours de formation aux mèmes internet - a fortement augmenté après l'annonce du programme Nam-Avar et l'examen d'entrée qui a suivi.
Comment le programme précédent de Ravin permettait d'obtenir un emploi et d'effectuer le service militaire
Auparavant, Ravin faisait la promotion de programmes d'emploi grâce auxquels les participants pouvaient satisfaire aux exigences de service militaire obligatoire de l'Iran. Le programme annoncé en mai 2024 prévoyait une formation conjointe puis un emploi chez Behin Rahkar - un fournisseur iranien de solutions de cybersécurité qui vend des produits et services à des entreprises du secteur des infrastructures critiques, notamment l'industrie pétrolière et gazière, l'approvisionnement en eau, les télécommunications et d'autres domaines. Selon le schéma annoncé, Ravin devait former les candidats au cours Security Operations Center (SOC) Tier 1, après quoi Behin Rahkar les embauchait. L'offre comprenait un travail sur ce que la publicité appelait certains des plus grands projets de sécurité de l'Iran, un emploi à long terme et la possibilité, pour les candidats adéquats, d'effectuer le service militaire obligatoire tout en continuant à travailler dans l'entreprise et en percevant un salaire complet.
L'itinéraire de la formation au service militaire dont la publicité a été faite en 2024. Le schéma de Ravin et Behin Rahkar, qui se terminait par un emploi qui, selon la publicité, comptait comme accomplissement du service militaire obligatoire tout en conservant un salaire complet.
Pour l'actuel programme de bourses Nam-Avar, Ravin n'a pas fait la promotion d'un schéma similaire de service militaire, et n'a pas non plus nommé d'entreprises précises parrainant le programme ou prévoyant d'embaucher ses diplômés. Le programme de 2024 montre de quelle manière l'académie orientait auparavant ses participants vers un travail de protection des infrastructures critiques de l'Iran comme alternative au service militaire obligatoire.
L'olympiade technologique de Ravin et les entités étatiques iraniennes
Les liens publics de Ravin avec des organisations étatiques iraniennes se poursuivent aujourd'hui encore. Récemment, l'académie fait la promotion de sa troisième Olympiade technologique - une compétition de cybersécurité pour étudiants qui commence le 29 août 2026. Les supports publicitaires de Ravin indiquent que l'olympiade comprendra cinq compétitions distinctes, dont l'une est consacrée aux systèmes de contrôle industriels et propose aux équipes d'analyser une «infrastructure industrielle réelle ou simulée» et de documenter de «possibles scénarios d'attaque».
Ravin indique également que l'olympiade se tiendra avec la participation de deux organisations étatiques iraniennes:
- L'Organisation de défense passive (PDO): la PDO est une entité étatique iranienne chargée de la protection des infrastructures critiques. Le 26 juillet 2010, l'UE lui a imposé des sanctions pour avoir participé au choix des sites et à la construction d'installations liées au programme nucléaire de l'Iran, y compris l'installation d'enrichissement d'uranium de Fordo.
- L'Institut de recherche sur les TIC: l'Institut de recherche sur les TIC est la principale division de recherche du ministère des Technologies de l'information et de la communication de l'Iran. L'institut fait office d'organe consultatif et de centre d'analyse auprès du ministère et dispose de personnel et de ressources propres pour les travaux dans le domaine de la cybersécurité.
Le partenariat de Ravin Academy avec la PDO et l'Institut de recherche sur les TIC dans le cadre de la prochaine olympiade indique que les liens entre l'académie et le gouvernement iranien restent étroits.
Ravin enseigne à partir de matériaux d'entreprises occidentales
Le programme d'études Nam-Avar donne une image détaillée de la base technique que Ravin entend fournir à la nouvelle promotion d'étudiants. La première étape, qui se déroule de juillet à décembre 2026, comprend Network+, LPIC1, Python Basics, MCSA et CEH v13. Quatre de ces cinq cours reposent sur des matériaux de formation publiés par de grandes entreprises occidentales de cybersécurité et des organisations internationales de certification - et c'est une pratique récurrente de Ravin.
L'académie indique ouvertement que ses programmes d'études utilisent des matériaux de sources occidentales, en soulignant leur coût plus faible par rapport aux originaux et en traduisant une partie des matériaux de formation en persan. Les entreprises de cybersécurité publient elles-mêmes des matériaux éducatifs, cherchant à contribuer à l'élévation du niveau de cyberdéfense dans le monde entier. Les entreprises précises ne sont pas nommées dans ce cas, mais sont informées directement de l'utilisation de leurs matériaux; le fait que Ravin Academy emprunte ces matériaux n'indique pas en soi une quelconque infraction ou irresponsabilité de la part des entreprises concernées.
Ce que contient le catalogue de 203 cours
203 cours et webinaires que Ravin a annoncés depuis juillet 2020 ont été recensés. Selon l'objectif principal déclaré, 53 d'entre eux ont été classés comme formation à la cybersécurité offensive, 39 comme défensive et six comme combinant les deux orientations. Les 105 restants ne relèvent pas directement de ces catégories, mais comprennent l'analyse de programmes malveillants, l'ingénierie matérielle et le développement blockchain.
La blockchain est un sujet inhabituel pour un cours standard de cybersécurité. Cependant, des groupes liés au MOIS, comme MuddyWater, sont connus pour avoir utilisé du code de contrats intelligents pour mener des cyberattaques. Plus largement, des groupes liés au Corps des Gardiens de la révolution islamique (CGRI) ont utilisé des cryptomonnaies pour contourner les sanctions, ce que le département du Trésor des États-Unis avait précédemment indiqué dans sa décision de sanctions contre Zedcex Exchange. L'inclusion de cours de développement blockchain dans le programme de Ravin indique que l'académie pourrait enseigner aux étudiants des capacités similaires.
Le programme de sécurité offensive comprend des cours sur l'utilisation de Cobalt Strike, Mimikatz, l'exploitation du noyau (kernel) Windows, le développement de programmes malveillants en C et C#, ainsi que le contournement des antivirus et des systèmes de détection et de réponse sur les terminaux (EDR). L'orientation défensive comprend la chasse aux menaces, la construction de systèmes de gestion des informations et des événements de sécurité (SIEM) et le développement de mécanismes de détection.
Ravin coopère avec l'entreprise russe sanctionnée Positive Technologies
Parallèlement à l'élargissement de son activité de formation interne, Ravin a établi des relations ouvertement affichées avec Positive Technologies - une entreprise russe de cybersécurité que les États-Unis ont sanctionnée pour avoir soutenu et recruté des employés pour le Service fédéral de sécurité de la Russie (FSB).
Ces relations se sont manifestées publiquement en trois étapes sur six mois. En décembre 2023, Ravin a organisé un webinaire conjoint avec des spécialistes de Positive Technologies intitulé «Détection des attaques invisibles sur le réseau». La publicité de Ravin indiquait que le public cible de l'événement comprenait notamment des organismes gouvernementaux iraniens.
En avril 2024, des représentants des deux entreprises sont intervenus ensemble au GISEC Global à Dubaï, occupant le hall 7, stand C55. Dans sa publication en persan sur l'événement, Ravin a qualifié Positive Technologies de «شریک تجاری خودش» - «son partenaire commercial».
Deux mois plus tard, un instructeur de Ravin s'est rendu à Moscou et est intervenu à la principale conférence de cybersécurité de Positive Technologies. Ravin a par la suite évoqué publiquement cette intervention.
Pourquoi c'est important pour les spécialistes de la cybersécurité
Ravin Academy recrute la plus grande promotion d'étudiants de son histoire, coopère avec un partenaire russe sous sanctions et forme les participants à des compétences qui renforcent directement les cybercapacités de l'Iran - et tout cela se produit pendant une période de conflit entre l'Iran et les États-Unis. Dans le même temps, dans de nombreux cas, l'académie utilise des matériaux de formation créés par des fournisseurs occidentaux de solutions de cybersécurité bien connus.
Les matériaux publiés par Ravin Academy permettent de se faire une idée de son activité. En particulier, le catalogue de cours montre quelles capacités la cyberarmée émergente de l'Iran est en train de maîtriser, et il s'agit de compétences tant offensives que défensives. Le contexte autour de Ravin Academy indique que ses diplômés pourraient diriger ces capacités contre les États-Unis, il est donc important pour les spécialistes de la cybersécurité, tant du secteur privé que public, de comprendre quelles compétences exactement ils acquièrent.
