Mit Iran in Verbindung stehende Hacker nutzen die Chosen-Brick-Spyware, um Dissidenten, Aktivisten und Journalisten weltweit zu überwachen. Die Windows-Malware nutzt die Telegram-Infrastruktur, um Nachrichten, Dateien, Screenshots und Mikrofonaufnahmen zu stehlen.
Sicherheitsbehörden in den Vereinigten Staaten, im Vereinigten Königreich und in den Niederlanden haben nun gemeinsam vor der Kampagne gewarnt. Bei einem Angriff tarnten die Hacker Malware sogar als medizinische MRT-Ergebnisse.
Behörden decken iranische Spionagekampagne auf
Das Internet Crime Complaint Center des FBI, das britische National Cyber Security Centre und der niederländische General Intelligence and Security Service veröffentlichten Einzelheiten zu der Operation.
Ermittler haben Chosen Brick mit iranischen Cyberaktivitäten in Verbindung gebracht, die mindestens bis ins Jahr 2025 zurückreichen. Das FBI verfolgt Malware aus derselben Familie jedoch bereits seit 2023 unter dem Namen Heavygram.
Die Kampagne richtet sich hauptsächlich gegen Menschen, die außerhalb des Iran leben. Zu den Opfern gehören Regierungskritiker, Journalisten, Aktivisten und andere Personen, die von den iranischen Behörden möglicherweise als Bedrohung angesehen werden.
Chosen Brick hat sich bislang ausschließlich gegen Windows-Computer gerichtet. Nach der Installation kann die Malware Informationen über die Kontakte, E-Mails und Social-Media-Unterhaltungen eines Opfers sammeln.
Dieser Zugriff kann Geheimdienstakteuren dabei helfen, ganze Netzwerke rund um eine Person zu identifizieren. Nachrichten und Standortdaten können vertrauenswürdige Kontakte, Treffen und Beziehungen offenlegen, die Angreifer als Nächstes ins Visier nehmen könnten.
Dadurch könnte ein einziger kompromittierter Journalist oder Aktivist Quellen und Mitarbeiter offenlegen, die nie mit den Hackern kommuniziert haben.
Hacker bauen Vertrauen auf, bevor sie Malware versenden
Die Angreifer beginnen damit, ihr vorgesehenes Opfer zu recherchieren. Anschließend kontaktieren sie die Person über verschlüsselte Messaging-Plattformen, darunter Telegram und WhatsApp.
Während dieser Gespräche können sich die Hacker als vertrauenswürdige Kontakte, Mitarbeiter des technischen Supports oder andere glaubwürdige Personen ausgeben. Anstatt sofort Malware zu versenden, nehmen sie sich häufig Zeit, um eine Beziehung aufzubauen.
Schließlich sendet der Angreifer eine schädliche Datei, die zur zuvor aufgebauten Geschichte passt. Durch die sorgfältige Vorbereitung wirkt der Download authentisch und für das Gespräch relevant.
Forscher haben gefälschte Anwendungen identifiziert, die Dienste und Software wie Pictory, RunwayML, Telegram, Norton Antivirus, Adobe Flash Player und KeePass imitieren.
In einem besonders irreführenden Fall verschickten die Hacker gefälschte MRT-Ergebnisse. Das medizinische Thema veranlasste das Opfer dazu, eine Datei zu öffnen, die legitim und potenziell wichtig erschien.
Die Angreifer können ihre Ziele außerdem dazu bewegen, von geschützten Arbeitsgeräten auf private Computer zu wechseln. Sicherheitstools von Unternehmen können verdächtige Downloads blockieren, während private Geräte häufig weniger Schutz bieten.
Daher sollten Sicherheitsteams nicht davon ausgehen, dass das Blockieren eines Angriffs auf einem Unternehmensgerät die Operation beendet. Die Hacker können einfach den Kommunikationskanal, ihre Identität oder das Zielgerät wechseln.
Telegram hilft Chosen Brick, unentdeckt zu bleiben
Nachdem ein Opfer die Datei geöffnet hat, installiert die Payload zusätzliche Malware. Anschließend nutzt die Chosen-Brick-Spyware Telegram als Teil ihrer Command-and-Control-Infrastruktur.
Dieser Ansatz ermöglicht es, schädlichen Datenverkehr mit legitimer Kommunikation zu vermischen. Dadurch kann es für Verteidiger schwieriger werden, die Aktivitäten der Spyware von der normalen Telegram-Nutzung zu unterscheiden.
Ermittler stellten fest, dass die Angreifer jedem kompromittierten Gerät eine separate Telegram-Bot-ID zuweisen. Diese Maßnahme isoliert die Opfer und verringert das Risiko, dass Ermittler eine Infektion mit anderen in Verbindung bringen können.
Sobald die Malware aktiv ist, richtet sie Persistenz auf dem Windows-System ein. Sie kann auch dann aktiv bleiben, wenn das Opfer den Computer mehrmals neu startet.
Die Spyware unterstützt mehrere Funktionen zur Überwachung und zum Datendiebstahl. Sie kann:
- Screenshots aufnehmen
- Audio über das Mikrofon aufzeichnen
- E-Mails und Messaging-Daten stehlen
- Dateien vom Computer sammeln
- Zusätzliche schädliche Tools herunterladen
- Dateien löschen oder Daten vernichten
- Gestohlene Informationen über Telegram-Bots und Cloud-Dienste versenden
Einige während der Kampagne gesammelte Informationen sind Berichten zufolge auf pro-iranischen Leak-Websites aufgetaucht.
Überwachung schafft Risiken über Datendiebstahl hinaus
Screenshots, Nachrichten und Aufnahmen können weit mehr als Passwörter oder Dokumente offenlegen. Sie können Kontakte, Standort, Tagesablauf und umfassendere Lebensgewohnheiten eines Opfers preisgeben.
Behörden warnen davor, dass diese Informationen andere Menschen gefährden können. Gestohlene Unterhaltungen könnten beispielsweise vertrauliche Quellen, andere Aktivisten oder im Iran lebende Verwandte identifizieren.
Das Vereinigte Königreich bezeichnet solche Operationen als transnationale Repression. Der Begriff beschreibt, wie Regierungen Kritiker und andere Personen außerhalb ihrer nationalen Grenzen ins Visier nehmen.
Schätzungsweise rund 10 Millionen Iraner leben außerhalb des Landes. Nach Angaben des NCSC haben iranische Geheimdienste in der Vergangenheit Entführungen und tödliche Operationen gegen vermeintliche Gegner im Ausland geplant.
Paul Chichester, Director of Operations des NCSC, sagte, die Kampagne zeige, wie Iran digitale Überwachung zur Unterdrückung von Kritikern einsetzt. Die Angreifer versuchen, Zugriff auf private Kommunikation und Geräte zu erhalten, um dieses Ziel zu unterstützen.
Iranische Gruppen haben bereits zuvor Journalisten ins Visier genommen
Die Chosen-Brick-Kampagne ist Teil eines umfassenderen Aktivitätsmusters gegen Journalisten und Regierungskritiker.
Im Iran geborene Journalisten, die für die in London ansässige Nachrichtenorganisation Iran International arbeiten, waren bereits zuvor Angriffen von Handala ausgesetzt. Forscher haben die Gruppe mit dem iranischen Ministry of Intelligence and Security in Verbindung gebracht.
Handala behauptete, die Nachrichtenorganisation kompromittiert und Informationen über 71.000 Leser und Mitarbeiter offengelegt zu haben. Das angeblich gestohlene Material umfasste personenbezogene Daten, Sicherheitsinformationen über Mitarbeiter, Finanzdokumente und vertrauliche Kommunikation.
Die Gruppe hat außerdem die Verantwortung für mehrere Operationen im Zusammenhang mit dem umfassenderen iranischen Konflikt übernommen. Dazu gehörten Leaks über Ingenieure der Verteidigungsindustrie, Offiziere der US Navy und Tausende US-Marines, die rund um den Persischen Golf stationiert sind.
Handala behauptete außerdem, Zugriff auf persönliche Konten von FBI-Direktor Kash Patel erhalten zu haben. Telegram diente der Gruppe häufig als Plattform für Ankündigungen und Drohungen.
So können potenzielle Ziele das Risiko reduzieren
Sicherheitsbehörden fordern besonders gefährdete Personen dazu auf, bei unaufgeforderten Nachrichten und Downloads vorsichtig zu sein. Ein bekannter Name oder ein überzeugendes Gespräch garantiert nicht, dass der Absender tatsächlich legitim ist.
Potenzielle Ziele sollten ungewöhnliche Anfragen über einen separaten Kommunikationskanal bestätigen. Sie sollten außerdem vermeiden, unerwartete Dateien zu öffnen, insbesondere wenn ein Kontakt sie auffordert, das Gespräch auf ein privates Gerät zu verlagern.
Die Behörden empfehlen, Updates für Betriebssysteme und Anwendungen zeitnah zu installieren. Nutzer sollten Software ausschließlich aus vertrauenswürdigen Quellen herunterladen und nach Möglichkeit eine starke Authentifizierung aktivieren.
Organisationen, die Journalisten, Dissidenten und Aktivisten unterstützen, sollten darauf vorbereitet sein, dass Angreifer zwischen Geräten und Kommunikationskanälen wechseln. Sicherheitstests sollten Kampagnen berücksichtigen, die nach einem gescheiterten ersten Versuch fortgesetzt werden.
Wer eine Infektion vermutet, sollte den betroffenen Computer nicht mehr für sensible Kommunikation verwenden. Betroffene sollten professionelle Hilfe suchen und relevante Nachrichten oder Dateien für Ermittler aufbewahren.
Die Chosen-Brick-Spyware zeigt, wie geduldiges Social Engineering gewöhnliche Gespräche in Überwachungsoperationen verwandeln kann. Für besonders gefährdete Personen bleiben die Überprüfung von Identitäten und das Vermeiden unaufgeforderter Downloads entscheidende Schutzmaßnahmen.
0 Kommentare zu „Iranische Hacker setzen Chosen-Brick-Spyware gegen Dissidenten ein“