Иранские хакеры используют программу CHOSEN BRICK для слежки за диссидентами в Европе и США

Знакомство с жертвой начинается в мессенджерах. Атакующий представляется человеком, которого жертва знает, либо сотрудником техподдержки платформы. Переписка идёт дни и недели. За это время злоумышленник изучает привычки, круг общения и рабочие проекты. Тематику вложения подбирают под интересы человека. Затем собеседник присылает файл, который выглядит безобидно: установщик популярной программы, документ с результатами медицинского сканирования, обновление для антивируса. Пользователь открывает его и видит привычное окно. В это время в фоне уже загружается вредоносный компонент.

Первый контакт часто происходит на рабочем устройстве. Если файл не открывают или риск разоблачения высок, атакующий просит перенести общение на личный телефон или домашний компьютер. Так он обходит корпоративные системы защиты, которые могли бы заметить угрозу. Совместный отчёт Национального центра кибербезопасности Великобритании, ФБР и нидерландской службы AIVD описывает эту схему и подтверждает, что жертвами становятся люди по обе стороны Атлантики. Все известные случаи заражения касались только Windows.

После запуска программа закрепляется в системе и переживает перезагрузку. Она прописывает себя в список автоматически запускаемых приложений. Поэтому вредоносный код снова работает при каждом входе пользователя в систему. Дополнительно она добавляет исключения в настройки встроенного антивируса Microsoft Defender. Так программа старается остаться незамеченной. Управление идёт через Telegram, причём для каждого устройства создаётся отдельный бот. Операторы не смешивают данные разных жертв. Между собой заражённые машины не связаны, автоматического распространения по сети не зафиксировали. При этом программа умеет скачивать новое вредоносное ПО и закреплять его тем же способом, что и себя, поэтому теоретически перемещение по сети возможно.

Возможности программы широкие. По команде она перечисляет запущенные процессы, собирает сведения о версии системы и установленных обновлениях, делает снимки экрана, включает микрофон и записывает звук. Отдельная функция копирует переписку из Telegram и WhatsApp, сохранённую в браузерах, а также ворует содержимое почтовых ящиков. Кроме того, программа умеет удалять файлы и полностью стирать данные с компьютера. Снимки экрана показывают, с кем человек общается, где бывает и что планирует.

Подход к каждой жертве отличается, как и конечная цель операции. Иногда злоумышленникам нужен доступ к переписке, иногда - к рабочей документации. Гибкость обеспечивает сама программа: набор команд позволяет менять сценарий на ходу. Украденное уходит двумя путями. Часть передаётся через того же Telegram-бота, часть - в облачные хранилища, которые обычно используют для резервного копирования. Свежие версии прячут трафик через прокси-серверы, поэтому подключения выглядят как обычная активность. В корпоративных журналах такие обращения всё равно заметны, если сервис не нужен сотрудникам в рабочее время.

Личные данные некоторых жертв публиковали на проиранских сайтах утечек. Публикация усиливает давление на человека и повышает риск для его безопасности. Иранские спецслужбы используют кибероперации для подавления инакомыслия. За пределами страны они планировали похищения и ликвидации людей, которых считают врагами режима. Шпионаж через мессенджеры вписывается в эту практику. Он даёт исполнителям сведения о распорядке дня потенциальной цели, её окружении и маршрутах передвижения.

Организациям стоит распространить предупреждение среди сотрудников, которые могут попасть в поле зрения таких групп: исследователей, журналистов, правозащитников, сотрудников аналитических центров. Полезно проверить личные устройства этих людей, а не только служебные. На компьютерах под управлением Windows имеет смысл просмотреть список программ, запускаемых автоматически при входе в систему, и удалить подозрительные записи. Помочь с проверкой способны внутренние или внешние ИТ-специалисты. Неожиданные подключения к облачным сервисам и прокси-сетям заслуживают отдельного внимания. Регулярное обновление системы и осторожность при открытии вложений из мессенджеров снижают вероятность заражения. Полной защиты они не гарантируют, особенно когда разговор ведёт незнакомец, представившийся коллегой или службой поддержки.