Irananknutna hackare använder spionprogrammet Chosen Brick för att övervaka dissidenter, aktivister och journalister världen över. Windows-skadeprogrammet utnyttjar Telegrams infrastruktur för att stjäla meddelanden, filer, skärmbilder och mikrofoninspelningar.
Säkerhetsmyndigheter i USA, Storbritannien och Nederländerna har nu utfärdat en gemensam varning om kampanjen. I en attack maskerade hackarna till och med skadeprogram som medicinska MR-resultat.
Myndigheter avslöjar iransk spionagekampanj
FBI:s Internet Crime Complaint Center, Storbritanniens National Cyber Security Centre och Nederländernas General Intelligence and Security Service publicerade detaljer om operationen.
Utredare har kopplat Chosen Brick till iransk cyberaktivitet som går tillbaka till åtminstone 2025. FBI har dock spårat skadeprogram från samma familj under namnet Heavygram sedan 2023.
Kampanjen riktar sig främst mot personer som bor utanför Iran. Offren omfattar regeringskritiker, journalister, aktivister och andra personer som iranska myndigheter kan betrakta som hot.
Chosen Brick har hittills uteslutande riktat sig mot Windows-datorer. När det väl har installerats kan det samla in information om offrets kontakter, e-postmeddelanden och konversationer på sociala medier.
Denna åtkomst kan hjälpa underrättelseoperatörer att identifiera hela nätverk kring en person. Meddelanden och platsdata kan avslöja betrodda kontakter, möten och relationer som angriparna kan rikta in sig på härnäst.
Följaktligen kan en enda komprometterad journalist eller aktivist avslöja källor och samarbetspartner som aldrig har kommunicerat med hackarna.
Hackare bygger upp förtroende innan de skickar skadeprogram
Angriparna börjar med att undersöka sitt tilltänkta offer. Därefter kontaktar de personen via krypterade meddelandeplattformar, inklusive Telegram och WhatsApp.
Under dessa konversationer kan hackarna utge sig för att vara betrodda kontakter, teknisk supportpersonal eller andra trovärdiga identiteter. I stället för att skicka skadeprogram direkt ägnar de ofta tid åt att bygga upp en relation.
Så småningom skickar angriparen en skadlig fil som utformats för att passa den etablerade berättelsen. De noggranna förberedelserna får nedladdningen att framstå som autentisk och relevant för konversationen.
Forskare har identifierat falska applikationer som imiterar tjänster och programvara som Pictory, RunwayML, Telegram, Norton Antivirus, Adobe Flash Player och KeePass.
I ett särskilt vilseledande fall skickade hackarna falska MR-resultat. Det medicinska temat uppmuntrade offret att öppna vad som verkade vara en legitim och potentiellt viktig fil.
Operatörerna kan också övertala måltavlor att byta från skyddad arbetsutrustning till privata datorer. Företagens säkerhetsverktyg kan blockera misstänkta nedladdningar, medan privata enheter ofta har färre skydd.
Därför bör säkerhetsteam inte anta att operationen är över bara för att en attack mot en företagsenhet blockeras. Hackarna kan helt enkelt byta kommunikationskanal, identitet eller målenhet.
Telegram hjälper Chosen Brick att undvika upptäckt
När ett offer öppnar filen installerar nyttolasten ytterligare skadeprogram. Spionprogrammet Chosen Brick använder sedan Telegram som en del av sin kommando- och kontrollinfrastruktur.
Detta tillvägagångssätt gör att skadlig trafik kan smälta in bland legitim kommunikation. Därför kan det bli svårare för försvarare att skilja spionprogrammets aktivitet från normal användning av Telegram.
Utredare upptäckte att operatörerna tilldelar ett separat Telegram-bot-ID till varje komprometterad enhet. Denna åtgärd isolerar offren och minskar risken för att utredare kan koppla en infektion till andra.
När skadeprogrammet väl är aktivt etablerar det persistens på Windows-systemet. Det kan fortsätta vara aktivt även efter att offret har startat om datorn flera gånger.
Spionprogrammet stöder flera funktioner för övervakning och datastöld. Det kan:
- Ta skärmbilder
- Spela in ljud via mikrofonen
- Stjäla e-postmeddelanden och meddelandedata
- Samla in filer från datorn
- Ladda ner ytterligare skadliga verktyg
- Radera filer eller rensa data
- Skicka stulen information via Telegram-botar och molntjänster
Viss information som samlats in under kampanjen har enligt uppgifter dykt upp på pro-iranska läckwebbplatser.
Övervakning skapar risker utöver datastöld
Skärmbilder, meddelanden och inspelningar kan avslöja mycket mer än lösenord eller dokument. De kan avslöja offrets kontakter, plats, dagliga rutiner och bredare levnadsmönster.
Myndigheter varnar för att denna information kan utsätta andra människor för fara. Stulna konversationer kan exempelvis identifiera konfidentiella källor, andra aktivister eller släktingar som bor i Iran.
Storbritannien beskriver dessa operationer som transnationellt förtryck. Termen syftar på regeringar som riktar in sig på kritiker och andra individer utanför sina nationella gränser.
Omkring 10 miljoner iranier beräknas bo utanför landet. Enligt NCSC har iranska underrättelsetjänster tidigare planerat kidnappningar och dödliga operationer mot personer som de uppfattar som motståndare utomlands.
Paul Chichester, NCSC:s Director of Operations, sade att kampanjen visade hur Iran använder digital övervakning för att förtrycka kritiker. Angriparna försöker få tillgång till privat kommunikation och enheter för att stödja detta mål.
Iranska grupper har riktat in sig på journalister tidigare
Chosen Brick-kampanjen ingår i ett bredare mönster av aktivitet mot journalister och regeringskritiker.
Iranfödda journalister som arbetar för den Londonbaserade nyhetsorganisationen Iran International har tidigare utsatts för attacker från Handala. Forskare har kopplat gruppen till Irans Ministry of Intelligence and Security.
Handala hävdade att gruppen hade komprometterat mediebolaget och avslöjat information kopplad till 71 000 läsare och anställda. Det påstått stulna materialet omfattade personuppgifter, säkerhetsuppgifter om personal, finansiella dokument och konfidentiell kommunikation.
Gruppen har också tagit på sig flera operationer kopplade till den bredare iranska konflikten. Dessa omfattade läckor som involverade ingenjörer inom försvarsindustrin, officerare i den amerikanska flottan och tusentals amerikanska marinkårssoldater stationerade runt Persiska viken.
Handala hävdade också att gruppen hade fått tillgång till personliga konton som tillhör FBI-chefen Kash Patel. Telegram har ofta fungerat som en plattform för gruppens tillkännagivanden och hot.
Så kan potentiella måltavlor minska risken
Säkerhetsmyndigheter uppmanar personer med högre risk att vara försiktiga med oönskade meddelanden och nedladdningar. Ett bekant namn eller en övertygande konversation garanterar inte att avsändaren är legitim.
Potentiella måltavlor bör bekräfta ovanliga förfrågningar via en separat kommunikationskanal. De bör också undvika att öppna oväntade filer, särskilt när en kontakt ber dem att flytta konversationen till en privat enhet.
Myndigheterna rekommenderar att operativsystem och applikationer uppdateras så snart som möjligt. Användare bör endast ladda ner programvara från betrodda källor och aktivera stark autentisering där det är möjligt.
Organisationer som stödjer journalister, dissidenter och aktivister bör förbereda sig på att angripare kan röra sig mellan enheter och kommunikationskanaler. Säkerhetstester bör ta hänsyn till kampanjer som fortsätter efter att det första försöket misslyckats.
Alla som misstänker en infektion bör sluta använda den drabbade datorn för känslig kommunikation. De bör söka professionell hjälp och bevara relevanta meddelanden eller filer för utredare.
Spionprogrammet Chosen Brick visar hur tålmodig social manipulation kan förvandla vanliga konversationer till övervakningsoperationer. För personer med hög risk är det fortfarande avgörande att verifiera identiteter och undvika oönskade nedladdningar.
0 svar till ”Iranska hackare använder spionprogrammet Chosen Brick mot dissidenter”