Иранские хакеры шпионят за активистами через шпионскую программу CHOSEN BRICK

Спецслужбы нескольких стран выпустили совместное предупреждение о вредоносной программе для Windows под названием CHOSEN BRICK. По данным ведомств, её применяют хакеры, связанные с иранским государством, для слежки за диссидентами, активистами и журналистами. Основными жертвами стали люди в США, Великобритании и Нидерландах — киберагентства этих стран подготовили совместный бюллетень вместе с ФБР.

Как устроена атака

Заражение начинается с социальной инженерии: жертве через WhatsApp или Telegram пишут от имени знакомого контакта или сотрудника техподдержки. Далее человека убеждают открыть вредоносный файл, замаскированный под легитимное приложение — среди приманок фигурировали Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player и KeePass. Нередко жертве советуют запускать файл именно на личном устройстве, чтобы обойти корпоративную защиту. В отдельных случаях в ход шли даже медицинские приманки, например документ с результатами МРТ.

Приложение показывает убедительный интерфейс, соответствующий легенде, а в фоне тихо устанавливает CHOSEN BRICK и закрепляется в системе через ключи автозапуска в реестре Windows. Программа также добавляет исключения в Microsoft Defender, чтобы не привлекать внимания антивируса, и подключается к персональному Telegram-боту, привязанному к идентификатору конкретной жертвы, — через него идёт управление.

Что умеет CHOSEN BRICK

После запуска зловред собирает системную информацию, перечисляет запущенные процессы, делает скриншоты, записывает звук с микрофона, крадёт содержимое почты и данные Telegram и WhatsApp из браузера. Он также способен загружать дополнительные модули, удалять файлы и полностью стирать систему.

Похищенные данные вытекают через Telegram либо облачные сервисы вроде VultrObjects и StorjShare, а более свежие версии CHOSEN BRICK маскируют трафик через прокси-серверы SOCKS5.

Не только шпионаж

Бюллетень отмечает тревожную деталь: украденные данные иногда оказываются на проиранских ресурсах, публикующих утечки. Это форма запугивания, повышающая реальную, физическую опасность для эмигрировавших диссидентов. Ведомства прямо указывают, что Иран использует кибероперации для подавления тех, кого режим считает угрозой, а в ряде случаев иранские спецслужбы планировали похищения или покушения на людей за рубежом.

Потенциальным жертвам рекомендуют проверять записи автозапуска в реестре, искать в логах индикаторы компрометации из бюллетеня и с подозрением относиться к неожиданным подключениям к API Telegram, а также к сервисам Backblaze B2, VultrObjects, StorjShare, IPRoyal и LightningProxies.

Источник: Bleeping Computer