Иранская слежка через Chosen Brick

Иранские хакеры используют вредоносную программу Chosen Brick для слежки за людьми, которых власти считают «врагами государства». Речь идет как о гражданах Ирана, так и о зарубежных целях. По предупреждению, опубликованному совместно британским Национальным центром кибербезопасности (NCSC), ФБР США и нидерландской Службой общей разведки и безопасности (AIVD), среди потенциальных жертв — диссиденты, активисты и журналисты.

Сценарий атаки начинается не с вируса, а с подготовки. Операторы изучают будущую жертву, ее интересы, контакты и используемые сервисы. Затем они выходят на связь через социальные сети: могут представиться знакомым человека или сотрудниками технической поддержки платформы. Переписка продолжается достаточно долго, чтобы собеседник перестал воспринимать общение как подозрительное.

После этого злоумышленники пытаются передать файл с Chosen Brick. Вредоносная программа предназначена прежде всего для компьютеров под управлением Windows и обладает широким набором функций. Она способна перечислять запущенные процессы, собирать сведения о системе, делать снимки экрана и включать микрофон для записи звука.

Кроме того, Chosen Brick может копировать данные Telegram и WhatsApp из веб-браузеров, загружать на компьютер дополнительные файлы и другие вредоносные программы, удалять файлы и похищать содержимое электронной почты. В крайнем случае программа позволяет полностью стереть данные с компьютера. Связь между операторами и зараженным устройством, согласно предупреждению, поддерживается через Telegram.

Три ведомства заявили, что Иран почти наверняка применяет киберактивность для поддержки репрессий против людей, которых считает угрозой режиму. В отчете также говорится, что иранские спецслужбы в отдельных случаях планировали похищения или убийства людей за рубежом, воспринимаемых как противники властей.

Главной защитой эксперты называют осторожность при общении в интернете. Пользователям рекомендуют не отключать предупреждения SmartScreen при загрузке файлов, устанавливать обновления на все устройства — лучше автоматически — и использовать антивирусное ПО.

Организациям советуют включить многофакторную аутентификацию, устойчивую к фишингу, управлять устройствами через корпоративные политики, настроить проверку электронной почты, внедрить мониторинг конечных устройств и сети, а также проверить системы на индикаторы компрометации (IoC). Такие индикаторы помогают обнаружить возможное заражение или следы работы злоумышленников.