Le agenzie di sicurezza hanno rivelato nuovi dettagli su CHOSEN BRICK , una famiglia di malware Windows utilizzata da hacker legati allo stato iraniano per mantenere l’accesso ai computer e raccogliere informazioni sensibili da obiettivi selezionati.
L’FBI UK’s National Cyber Security Centre e l’AIVD dei Paesi Bassi collegarono la campagna agli attori informatici statali iraniani. L’FBI valuta che gli operatori che lavorano per conto del Ministero dell’Intelligence e della Sicurezza iraniano siano responsabili delle attività correlate.
CHOSEN BRICK è stato osservato prendere di mira persone in tutto il mondo almeno dal 2025. L’FBI traccia malware correlati come HEAVYGRAM e ha identificato versioni utilizzate nelle operazioni risalenti all’autunno 2023.
La campagna si è concentrata principalmente su dissidenti iraniani, giornalisti critici nei confronti del governo iraniano, attivisti e membri di organizzazioni le cui opinioni sono in conflitto con le narrazioni del governo iraniano.
Gli attaccanti non si affidano alla distribuzione indiscriminata di malware. Invece, studiano singoli obiettivi e utilizzano l’ingegneria sociale personalizzata per aumentare la probabilità che venga aperto un file malevolo.
Il primo contatto può avvenire tramite Telegram o WhatsApp. Gli aggressori possono impersonare qualcuno di cui la vittima si fida o fingere di fornire supporto tecnico. Dopo aver stabilito la credibilità, inviano un file pensato per adattarsi alla conversazione.
I travestimenti variano notevolmente. Le autorità hanno identificato file dannosi presentati come Telegram, KeePass, Norton Antivirus, Pictory, RunwayML e altre applicazioni legittime. Un’esca è stata persino progettata per apparire come risultato di una risonanza magnetica.
Quando viene aperto, il file malevolo può mostrare contenuti convincenti che corrispondono alla storia dell’attaccante mentre viene installato CHOSEN BRICK segretamente in background.
Il malware stabilisce la persistenza su Windows in modo da poter continuare a funzionare dopo il riavvio del computer. Gli investigatori hanno anche osservato tentativi di creare esclusioni Microsoft Defender per file e cartelle selezionati, riducendo la probabilità che il malware venga rilevato.
Una volta attiva, CHOSEN BRICK offre ampie capacità di sorveglianza. Gli attaccanti possono catturare screenshot, raccogliere file ed email, attivare il microfono del computer e ottenere informazioni associate alle sessioni di Telegram e WhatsApp accessibili tramite browser web.
Il malware può anche scaricare file aggiuntivi e ricevere istruzioni da remoto. I bot Telegram sono utilizzati come parte della sua infrastruttura di comando e controllo, permettendo ai computer infetti di comunicare con i sistemi controllati dagli attaccanti. Alcune versioni contengono anche funzionalità distruttive, inclusa la possibilità di eliminare file.
Le autorità avvertono che le informazioni raccolte possono rivelare molto più di password o documenti. Messaggi, contatti, screenshot e altri dati possono rivelare relazioni, movimenti e routine quotidiane.
Informazioni rubate ad alcune vittime precedenti sono poi apparse su siti web di fughe di notizie filo-iraniane, secondo le agenzie.
Gli operatori possono anche adattarsi quando la sicurezza aziendale interferisce con un attacco. Se compromettere un computer di lavoro si rivela difficile, gli investigatori affermano che i bersagli possono essere incoraggiati a continuare la conversazione o ad aprire file su dispositivi personali.
Tutte le infezioni osservate CHOSEN BRICK descritte nell’avviso hanno preso di mira Windows. Le agenzie hanno pubblicato indicatori tecnici e linee guida per la mitigazione per aiutare potenziali obiettivi e team di sicurezza a identificare le infezioni e ridurre il rischio di compromissione.