Iransk-tilknyttede hackere bruger Chosen Brick-spyware til at overvåge dissidenter, aktivister og journalister verden over. Windows-malwaren udnytter Telegram-infrastruktur til at stjæle beskeder, filer, skærmbilleder og mikrofonoptagelser.
Sikkerhedsmyndigheder i USA, Storbritannien og Nederlandene har nu udsendt en fælles advarsel om kampagnen. I ét angreb forklædte hackerne endda malware som medicinske MR-resultater.
Myndigheder afslører iransk spionagekampagne
FBI’s Internet Crime Complaint Center, Storbritanniens National Cyber Security Centre og den nederlandske General Intelligence and Security Service offentliggjorde detaljer om operationen.
Efterforskere har knyttet Chosen Brick til iransk cyberaktivitet, der går tilbage til mindst 2025. FBI har dog sporet malware fra samme familie under navnet Heavygram siden 2023.
Kampagnen retter sig primært mod personer, der bor uden for Iran. Ofrene omfatter regeringskritikere, journalister, aktivister og andre personer, som de iranske myndigheder kan betragte som trusler.
Chosen Brick har indtil videre udelukkende rettet sig mod Windows-computere. Når det først er installeret, kan det indsamle oplysninger om et offers kontakter, e-mails og samtaler på sociale medier.
Denne adgang kan hjælpe efterretningsoperatører med at identificere hele netværk omkring én person. Beskeder og lokationsdata kan afsløre betroede kontakter, møder og relationer, som angriberne kan rette sig mod næste gang.
Derfor kan en enkelt kompromitteret journalist eller aktivist afsløre kilder og samarbejdspartnere, som aldrig har kommunikeret med hackerne.
Hackere opbygger tillid, før de sender malware
Angriberne begynder med at undersøge deres tiltænkte offer. Derefter kontakter de personen via krypterede beskedplatforme, herunder Telegram og WhatsApp.
Under disse samtaler kan hackerne udgive sig for at være betroede kontakter, medarbejdere fra teknisk support eller andre overbevisende identiteter. I stedet for at sende malware med det samme bruger de ofte tid på at opbygge en relation.
Til sidst sender angriberen en ondsindet fil, der er designet til at passe til den etablerede historie. Den grundige forberedelse får downloadet til at fremstå autentisk og relevant for samtalen.
Forskere har identificeret falske applikationer, der efterligner tjenester og software som Pictory, RunwayML, Telegram, Norton Antivirus, Adobe Flash Player og KeePass.
I et særligt vildledende tilfælde sendte hackerne falske MR-resultater. Det medicinske tema tilskyndede offeret til at åbne, hvad der så ud til at være en legitim og potentielt vigtig fil.
Operatørerne kan også overtale mål til at skifte fra beskyttet arbejdsudstyr til personlige computere. Virksomheders sikkerhedsværktøjer kan blokere mistænkelige downloads, mens personlige enheder ofte har færre beskyttelsesforanstaltninger.
Derfor bør sikkerhedsteams ikke antage, at blokering af et angreb på en virksomhedsenhed afslutter operationen. Hackerne kan ganske enkelt skifte kommunikationskanal, identitet eller målenhed.
Telegram hjælper Chosen Brick med at undgå opdagelse
Når et offer åbner filen, installerer payloaden yderligere malware. Chosen Brick-spywaren bruger derefter Telegram som en del af sin command-and-control-infrastruktur.
Denne tilgang gør det muligt for ondsindet trafik at blande sig med legitim kommunikation. Som følge heraf kan det blive sværere for forsvarere at skelne spywarens aktivitet fra normal brug af Telegram.
Efterforskere opdagede, at operatørerne tildeler et separat Telegram-bot-ID til hver kompromitteret enhed. Denne foranstaltning isolerer ofrene og reducerer risikoen for, at efterforskere kan forbinde én infektion med andre.
Når malwaren er aktiv, etablerer den persistens på Windows-systemet. Den kan forblive aktiv, selv efter at offeret har genstartet computeren flere gange.
Spywaren understøtter flere funktioner til overvågning og datatyveri. Den kan:
- Tage skærmbilleder
- Optage lyd gennem mikrofonen
- Stjæle e-mails og beskeddata
- Indsamle filer fra computeren
- Downloade yderligere ondsindede værktøjer
- Slette filer eller rydde data
- Sende stjålne oplysninger gennem Telegram-bots og cloudtjenester
Nogle af de oplysninger, der blev indsamlet under kampagnen, er angiveligt dukket op på pro-iranske lækagewebsteder.
Overvågning skaber risici ud over datatyveri
Skærmbilleder, beskeder og optagelser kan afsløre langt mere end adgangskoder eller dokumenter. De kan afsløre et offers kontakter, lokation, daglige rutine og bredere livsmønster.
Myndighederne advarer om, at disse oplysninger kan bringe andre mennesker i fare. Stjålne samtaler kan for eksempel identificere fortrolige kilder, andre aktivister eller slægtninge, der bor i Iran.
Storbritannien beskriver disse operationer som transnational undertrykkelse. Begrebet henviser til regeringer, der retter sig mod kritikere og andre personer uden for deres nationale grænser.
Omkring 10 millioner iranere anslås at bo uden for landet. Ifølge NCSC har iranske efterretningstjenester tidligere planlagt kidnapninger og dødelige operationer mod personer, som de opfatter som modstandere i udlandet.
Paul Chichester, NCSC’s Director of Operations, sagde, at kampagnen viste, hvordan Iran bruger digital overvågning til at undertrykke kritikere. Angriberne forsøger at få adgang til privat kommunikation og enheder for at støtte dette mål.
Iranske grupper har tidligere rettet sig mod journalister
Chosen Brick-kampagnen er en del af et bredere aktivitetsmønster rettet mod journalister og regeringskritikere.
Iranskfødte journalister, der arbejder for den London-baserede nyhedsorganisation Iran International, har tidligere været udsat for angreb fra Handala. Forskere har knyttet gruppen til Irans Ministry of Intelligence and Security.
Handala hævdede, at gruppen havde kompromitteret medieorganisationen og afsløret oplysninger knyttet til 71.000 læsere og medarbejdere. Det angiveligt stjålne materiale omfattede personlige oplysninger, sikkerhedsoplysninger om medarbejdere, finansielle dokumenter og fortrolig kommunikation.
Gruppen har også hævdet at stå bag flere operationer knyttet til den bredere iranske konflikt. Disse omfattede lækager, der involverede ingeniører i forsvarsindustrien, officerer i den amerikanske flåde og tusindvis af amerikanske marinesoldater stationeret omkring Den Persiske Golf.
Handala hævdede også, at gruppen havde fået adgang til personlige konti tilhørende FBI-direktør Kash Patel. Telegram har ofte fungeret som platform for gruppens meddelelser og trusler.
Sådan kan potentielle mål reducere risikoen
Sikkerhedsmyndigheder opfordrer personer med højere risiko til at være forsigtige med uopfordrede beskeder og downloads. Et velkendt navn eller en overbevisende samtale garanterer ikke, at afsenderen er legitim.
Potentielle mål bør bekræfte usædvanlige anmodninger gennem en separat kommunikationskanal. De bør også undgå at åbne uventede filer, især når en kontakt beder dem om at flytte samtalen til en personlig enhed.
Myndighederne anbefaler, at opdateringer til operativsystemer og applikationer installeres hurtigt. Brugere bør kun downloade software fra pålidelige kilder og aktivere stærk autentificering, hvor det er muligt.
Organisationer, der støtter journalister, dissidenter og aktivister, bør forberede sig på, at angribere kan bevæge sig mellem enheder og kommunikationskanaler. Sikkerhedstest bør tage højde for kampagner, der fortsætter, efter at det første forsøg mislykkes.
Enhver, der har mistanke om en infektion, bør stoppe med at bruge den berørte computer til følsom kommunikation. De bør søge professionel hjælp og bevare relevante beskeder eller filer til efterforskere.
Chosen Brick-spywaren demonstrerer, hvordan tålmodig social manipulation kan forvandle almindelige samtaler til overvågningsoperationer. For personer med høj risiko er verificering af identiteter og undgåelse af uopfordrede downloads fortsat afgørende sikkerhedsforanstaltninger.
0 svar til “Iranske hackere bruger Chosen Brick-spyware mod dissidenter”