Agências de segurança revelaram novos detalhes sobre CHOSEN BRICK , uma família de malware Windows usada por hackers ligados ao Estado iraniano para manter acesso a computadores e coletar informações sensíveis de alvos selecionados.
O UK’s National Cyber Security Centre , o FBI e o AIVD da Holanda ligaram a campanha a atores cibernéticos estatais iranianos. O FBI avalia que operadores que atuam em nome do Ministério de Inteligência e Segurança do Irã são responsáveis por atividades relacionadas.
CHOSEN BRICK tem sido observado mirando pessoas ao redor do mundo desde pelo menos 2025. O FBI rastreia malwares relacionados como HEAVYGRAM e identificou versões usadas em operações desde o outono de 2023.
A campanha tem se concentrado principalmente em dissidentes iranianos, jornalistas críticos ao governo iraniano, ativistas e membros de organizações cujas opiniões entram em conflito com as narrativas do governo iraniano.
Os atacantes não dependem da distribuição indiscriminada de malware. Em vez disso, eles pesquisam alvos individuais e usam engenharia social personalizada para aumentar a probabilidade de que um arquivo malicioso seja aberto.
O contato inicial pode ocorrer via Telegram ou WhatsApp. Os atacantes podem se passar por alguém em quem a vítima confia ou fingir fornecer suporte técnico. Após estabelecer credibilidade, enviam um arquivo projetado para se encaixar na conversa.
Os disfarces variam consideravelmente. As autoridades identificaram arquivos maliciosos apresentados como Telegram, KeePass, Norton Antivirus, Pictory, RunwayML e outros aplicativos legítimos. Uma isca foi até projetada para aparecer como resultado de uma ressonância magnética.
Quando aberto, o arquivo malicioso pode exibir conteúdo convincente que corresponde à história do atacante enquanto é instalado CHOSEN BRICK secretamente em segundo plano.
O malware estabelece persistência no Windows para que possa continuar operando após a reinicialização do computador. Investigadores também observaram tentativas de criar exclusões do Microsoft Defender para arquivos e pastas selecionados, reduzindo a probabilidade de o malware ser detectado.
Uma vez ativado, CHOSEN BRICK oferece amplas capacidades de vigilância. Os atacantes podem capturar capturas de tela, coletar arquivos e e-mails, ativar o microfone do computador e obter informações associadas às sessões do Telegram e WhatsApp acessadas por navegadores web.
O malware também pode baixar arquivos adicionais e receber instruções remotamente. Bots do Telegram são usados como parte de sua infraestrutura de comando e controle, permitindo que computadores infectados se comuniquem com sistemas controlados pelos atacantes. Algumas versões também contêm funcionalidades destrutivas, incluindo a capacidade de excluir arquivos.
As autoridades alertam que as informações coletadas podem revelar muito mais do que senhas ou documentos. Mensagens, contatos, capturas de tela e outros dados podem revelar relacionamentos, movimentos e rotinas do dia a dia.
Informações roubadas de algumas vítimas anteriores apareceram posteriormente em sites pró-Irã de vazamento, segundo as agências.
Os operadores também podem se adaptar quando a segurança corporativa interfere em um ataque. Se comprometer um computador de trabalho for difícil, os investigadores dizem que os alvos podem ser incentivados a continuar a conversa ou abrir arquivos em dispositivos pessoais.
Todas as infecções observadas CHOSEN BRICK descritas no aviso têm como alvo o Windows. As agências divulgaram indicadores técnicos e orientações de mitigação para ajudar potenciais alvos e equipes de segurança a identificar infecções e reduzir o risco de comprometimento.