Iransk-tilknyttede hackere bruker spionvaren Chosen Brick til å overvåke dissidenter, aktivister og journalister over hele verden. Windows-skadevaren utnytter Telegram-infrastruktur til å stjele meldinger, filer, skjermbilder og mikrofonopptak.
Sikkerhetsmyndigheter i USA, Storbritannia og Nederland har nå utstedt en felles advarsel om kampanjen. I ett angrep forkledde hackerne til og med skadevare som medisinske MR-resultater.
Myndigheter avslører iransk spionasjekampanje
FBIs Internet Crime Complaint Center, Storbritannias National Cyber Security Centre og Nederlands General Intelligence and Security Service publiserte detaljer om operasjonen.
Etterforskere har knyttet Chosen Brick til iransk cyberaktivitet som går tilbake til minst 2025. FBI har imidlertid sporet skadevare fra samme familie under navnet Heavygram siden 2023.
Kampanjen retter seg hovedsakelig mot personer som bor utenfor Iran. Ofrene inkluderer regjeringskritikere, journalister, aktivister og andre personer som iranske myndigheter kan betrakte som trusler.
Chosen Brick har så langt utelukkende rettet seg mot Windows-datamaskiner. Når den er installert, kan den samle inn informasjon om et offers kontakter, e-poster og samtaler på sosiale medier.
Denne tilgangen kan hjelpe etterretningsoperatører med å identifisere hele nettverk rundt én person. Meldinger og posisjonsdata kan avsløre betrodde kontakter, møter og relasjoner som angriperne kan rette seg mot neste gang.
Følgelig kan én kompromittert journalist eller aktivist avsløre kilder og samarbeidspartnere som aldri har kommunisert med hackerne.
Hackere bygger tillit før de sender skadevare
Angriperne begynner med å undersøke det tiltenkte offeret. Deretter kontakter de personen gjennom krypterte meldingsplattformer, inkludert Telegram og WhatsApp.
Under disse samtalene kan hackerne utgi seg for å være betrodde kontakter, teknisk støttepersonell eller andre overbevisende identiteter. I stedet for å sende skadevare umiddelbart bruker de ofte tid på å bygge opp en relasjon.
Til slutt sender angriperen en ondsinnet fil som er utformet for å passe med historien som allerede er etablert. De grundige forberedelsene får nedlastingen til å fremstå som autentisk og relevant for samtalen.
Forskere har identifisert falske applikasjoner som etterligner tjenester og programvare som Pictory, RunwayML, Telegram, Norton Antivirus, Adobe Flash Player og KeePass.
I ett spesielt villedende tilfelle sendte hackerne falske MR-resultater. Det medisinske temaet oppmuntret offeret til å åpne det som så ut til å være en legitim og potensielt viktig fil.
Operatørene kan også overtale mål til å bytte fra beskyttet arbeidsutstyr til personlige datamaskiner. Sikkerhetsverktøy i bedrifter kan blokkere mistenkelige nedlastinger, mens personlige enheter ofte har færre beskyttelsestiltak.
Derfor bør ikke sikkerhetsteam anta at blokkering av et angrep på en bedriftsenhet avslutter operasjonen. Hackerne kan ganske enkelt bytte kommunikasjonskanal, identitet eller målenhet.
Telegram hjelper Chosen Brick med å unngå oppdagelse
Etter at et offer åpner filen, installerer nyttelasten ytterligere skadevare. Chosen Brick-spionvaren bruker deretter Telegram som en del av sin kommando- og kontrollinfrastruktur.
Denne tilnærmingen gjør at ondsinnet trafikk kan gli inn blant legitim kommunikasjon. Som et resultat kan det bli vanskeligere for forsvarere å skille spionvarens aktivitet fra normal bruk av Telegram.
Etterforskere oppdaget at operatørene tildeler en separat Telegram-bot-ID til hver kompromitterte enhet. Dette tiltaket isolerer ofrene og reduserer risikoen for at etterforskere kan knytte én infeksjon til andre.
Når skadevaren er aktiv, etablerer den persistens på Windows-systemet. Den kan fortsette å være operativ selv etter at offeret har startet datamaskinen på nytt flere ganger.
Spionvaren støtter flere funksjoner for overvåking og datatyveri. Den kan:
- Ta skjermbilder
- Ta opp lyd gjennom mikrofonen
- Stjele e-poster og meldingsdata
- Samle inn filer fra datamaskinen
- Laste ned ytterligere ondsinnede verktøy
- Slette filer eller fjerne data
- Sende stjålet informasjon gjennom Telegram-boter og skytjenester
Noe informasjon som ble samlet inn under kampanjen, har angivelig dukket opp på pro-iranske lekkasjenettsteder.
Overvåking skaper risiko utover datatyveri
Skjermbilder, meldinger og opptak kan avsløre langt mer enn passord eller dokumenter. De kan avsløre offerets kontakter, posisjon, daglige rutine og bredere livsmønster.
Myndighetene advarer om at denne informasjonen kan sette andre mennesker i fare. Stjålne samtaler kan for eksempel identifisere konfidensielle kilder, andre aktivister eller slektninger som bor i Iran.
Storbritannia beskriver disse operasjonene som transnasjonal undertrykkelse. Begrepet viser til regjeringer som retter seg mot kritikere og andre personer utenfor sine nasjonale grenser.
Det anslås at rundt 10 millioner iranere bor utenfor landet. Ifølge NCSC har iranske etterretningstjenester tidligere planlagt kidnappinger og dødelige operasjoner mot personer de oppfatter som motstandere i utlandet.
Paul Chichester, NCSCs Director of Operations, sa at kampanjen viste hvordan Iran bruker digital overvåking for å undertrykke kritikere. Angriperne forsøker å få tilgang til privat kommunikasjon og enheter for å støtte dette målet.
Iranske grupper har tidligere rettet seg mot journalister
Chosen Brick-kampanjen er en del av et bredere aktivitetsmønster mot journalister og regjeringskritikere.
Iranskfødte journalister som jobber for den London-baserte nyhetsorganisasjonen Iran International, har tidligere blitt utsatt for angrep fra Handala. Forskere har knyttet gruppen til Irans Ministry of Intelligence and Security.
Handala hevdet at gruppen hadde kompromittert kringkasteren og avslørt informasjon knyttet til 71 000 lesere og ansatte. Det angivelig stjålne materialet inkluderte personopplysninger, sikkerhetsinformasjon om ansatte, finansielle dokumenter og konfidensiell kommunikasjon.
Gruppen har også hevdet å stå bak flere operasjoner knyttet til den bredere iranske konflikten. Disse inkluderte lekkasjer som involverte ingeniører i forsvarsindustrien, offiserer i den amerikanske marinen og tusenvis av amerikanske marinesoldater stasjonert rundt Persiabukta.
Handala hevdet også at gruppen hadde fått tilgang til personlige kontoer som tilhører FBI-direktør Kash Patel. Telegram har ofte fungert som en plattform for gruppens kunngjøringer og trusler.
Slik kan potensielle mål redusere risikoen
Sikkerhetsmyndigheter oppfordrer personer med høyere risiko til å være forsiktige med uoppfordrede meldinger og nedlastinger. Et kjent navn eller en overbevisende samtale garanterer ikke at avsenderen er legitim.
Potensielle mål bør bekrefte uvanlige forespørsler gjennom en separat kommunikasjonskanal. De bør også unngå å åpne uventede filer, særlig når en kontakt ber dem om å flytte samtalen til en personlig enhet.
Myndighetene anbefaler å installere oppdateringer til operativsystemer og applikasjoner så raskt som mulig. Brukere bør bare laste ned programvare fra pålitelige kilder og aktivere sterk autentisering der det er mulig.
Organisasjoner som støtter journalister, dissidenter og aktivister, bør forberede seg på at angripere kan bevege seg mellom enheter og kommunikasjonskanaler. Sikkerhetstesting bør ta høyde for kampanjer som fortsetter etter at det første forsøket mislykkes.
Alle som mistenker en infeksjon, bør slutte å bruke den berørte datamaskinen til sensitiv kommunikasjon. De bør søke profesjonell hjelp og bevare relevante meldinger eller filer for etterforskere.
Chosen Brick-spionvaren viser hvordan tålmodig sosial manipulering kan gjøre vanlige samtaler om til overvåkingsoperasjoner. For personer med høy risiko er det fortsatt avgjørende å verifisere identiteter og unngå uoppfordrede nedlastinger.
0 responses to “Iranske hackere bruker spionprogrammet Chosen Brick mot dissidenter”