Le agenzie di sicurezza negli Stati Uniti, nel Regno Unito e nei Paesi Bassi hanno smascherato una campagna di spionaggio informatico iraniano che utilizza attacchi di ingegneria sociale accuratamente preparati per spiare dissidenti, attivisti e giornalisti.
L’operazione si basa su malware di Windows noto come CHOSEN BRICK. L’FBI traccia malware della stessa famiglia di HEAVYGRAM e ne ha collegato l’uso al Ministero dell’Intelligence e della Sicurezza iraniano.
Invece di inviare immediatamente allegati sospetti alle potenziali vittime, gli aggressori fanno indagini sui loro obiettivi e cercano di guadagnarsi la loro fiducia. Contattano le persone tramite servizi di messaggistica come Telegram e WhatsApp fingendo di essere contatti noti o rappresentanti del supporto tecnico.
Le conversazioni possono continuare mentre gli aggressori costruiscono credibilità prima di introdurre un file malevolo. Il file è progettato per corrispondere alla storia utilizzata nella conversazione, rendendo la richiesta più convincente.
Alcune vittime hanno ricevuto applicazioni mascherate da software legittimi, tra cui Telegram, KeePass, Norton Antivirus, Pictory e RunwayML. In un caso particolarmente insolito, gli attaccanti hanno presentato un file dannoso come risultato della scansione della risonanza magnetica.
Aprendo il file viene visualizzato contenuto pensato per mantenere l’inganno mentre il malware è installato in background.
Gli investigatori hanno osservato solo CHOSEN BRICK che prende di mira i sistemi Windows. Una volta installato, può stabilire la persistenza in modo da continuare a funzionare anche dopo il riavvio del computer.
Telegram svolge anche un altro ruolo dopo l’infezione. Il malware può comunicare con i bot di Telegram controllati dagli attaccanti, permettendo a comandi e informazioni rubate di passare attraverso il servizio. Gli investigatori hanno scoperto che alle singole vittime potrebbero essere assegnati ID separati dei bot di Telegram.
CHOSEN BRICK offre ampie capacità di sorveglianza. Può catturare screenshot, attivare il microfono di un computer, raccogliere email e file e ottenere dati di Telegram e WhatsApp memorizzati tramite browser web. Gli attaccanti possono anche raccogliere informazioni sui processi in esecuzione e sul sistema contaminato.
Il malware è in grado di scaricare ulteriori file dannosi ed eliminare informazioni. Almeno una versione analizzata conteneva anche funzionalità che potevano cancellare i dati dal computer.
Le autorità hanno avvertito che le informazioni raccolte possono rivelare molto più delle credenziali dell’account. Screenshot, comunicazioni e altri dati rubati possono rivelare i contatti, i movimenti e le routine quotidiane di una persona.
Alcune informazioni ottenute dalle vittime precedenti sono poi apparse su siti web di fughe di notizie filo-iraniane, secondo l’avviso congiunto.
Gli aggressori hanno anche dimostrato interesse a bypassare la sicurezza sul posto di lavoro. Quando i tentativi di compromettere un computer aziendale falliscono o sembrano possibili a attivare controlli di sicurezza, possono incoraggiare il bersaglio a continuare l’interazione su un dispositivo personale.
Le autorità britanniche valutano che l’Iran “quasi certamente” utilizza operazioni informatiche per sostenere sforzi contro individui che considera minacce. L’FBI afferma analogamente che attori che lavorano per conto del ministero dell’intelligence iraniano probabilmente utilizzano il malware per la raccolta di informazioni, le fughe di dati e danni alla reputazione.
Il nuovo avviso rilasciato è pensato per aiutare potenziali obiettivi e team di sicurezza a riconoscere la campagna. CHOSEN BRICK rimane una preoccupazione attiva, con le autorità che avvertono che la sua combinazione di ingegneria sociale personalizzata e sorveglianza persistente dei dispositivi può mettere a rischio sia individui bersaglio che persone a loro collegate.