Agências de segurança nos Estados Unidos, Reino Unido e Holanda expuseram uma campanha de ciberespionagem iraniana que utiliza ataques de engenharia social cuidadosamente preparados para espionar dissidentes, ativistas e jornalistas.
A operação depende de malware para Windows conhecido como CHOSEN BRICK. O FBI rastreia malwares da mesma família do HEAVYGRAM e relacionou seu uso ao Ministério de Inteligência e Segurança do Irã.
Em vez de enviar imediatamente anexos suspeitos para possíveis vítimas, os atacantes pesquisam seus alvos e tentam conquistar sua confiança. Eles entram em contato com pessoas por meio de serviços de mensagens como Telegram e WhatsApp, fingindo ser contatos conhecidos ou representantes de suporte técnico.
As conversas podem continuar enquanto os atacantes constroem credibilidade antes de introduzir um arquivo malicioso. O arquivo é projetado para corresponder à história usada na conversa, tornando o pedido mais convincente.
Algumas vítimas receberam ofertas de aplicativos disfarçados de softwares legítimos, incluindo Telegram, KeePass, Norton Antivirus, Pictory e RunwayML. Em um caso particularmente incomum, os atacantes apresentaram um arquivo malicioso como resultado de uma varredura de ressonância magnética.
Ao abrir o arquivo, o conteúdo destinado a manter o engano é exibido enquanto o malware está instalado em segundo plano.
Os investigadores só observaram o CHOSEN BRICK mirando sistemas Windows. Uma vez instalado, ele pode estabelecer persistência para continuar operando após a reinicialização do computador.
O Telegram também desempenha outro papel após a infecção. O malware pode se comunicar com bots do Telegram controlados pelos atacantes, permitindo que comandos e informações roubadas circulem pelo serviço. Investigadores descobriram que vítimas individuais podem receber IDs separados de bots do Telegram.
O TIJOLO ESCOLHIDO oferece amplas capacidades de vigilância. Ele pode capturar capturas de tela, ativar o microfone de um computador, coletar e-mails e arquivos, e obter dados do Telegram e WhatsApp armazenados em navegadores web. Os atacantes também podem coletar informações sobre processos em execução e o sistema infectado.
O malware é capaz de baixar arquivos maliciosos adicionais e deletar informações. Pelo menos uma versão analisada também continha funcionalidades que podiam apagar dados do computador.
As autoridades alertaram que as informações coletadas podem revelar muito mais do que apenas credenciais de conta. Capturas de tela, comunicações e outros dados roubados podem expor os contatos, movimentos e rotinas diárias de uma pessoa.
Algumas informações obtidas de vítimas anteriores foram posteriormente publicadas em sites pró-Irã de vazamento, segundo o comunicado conjunto.
Os atacantes também demonstraram interesse em burlar a segurança no ambiente de trabalho. Quando tentativas de comprometer um computador corporativo falham ou parecem suscetíveis de acionar controles de segurança, eles podem incentivar o alvo a continuar a interação em um dispositivo pessoal.
As autoridades britânicas avaliam que o Irã “quase certamente” usa operações cibernéticas para apoiar esforços contra indivíduos considerados ameaças. O FBI também afirma que atores que atuam em nome do ministério de inteligência iraniano provavelmente estão usando o malware para coleta de informações, vazamentos de dados e danos à reputação.
O novo aviso divulgado tem como objetivo ajudar potenciais alvos e equipes de segurança a reconhecerem a campanha. O TIJOLO ESCOLHIDO continua sendo uma preocupação ativa, com as autoridades alertando que sua combinação de engenharia social personalizada e vigilância persistente de dispositivos pode colocar em risco tanto indivíduos-alvo quanto pessoas ligadas a eles.