Правителствени агенции предупреждават, да ирански хакери, свързани с държавата, използват зловреден софтуер за Windows, наречен CHOSEN BRICK, за да атакуват дисиденти, активисти и журналисти по целия свят.
Зловредният софтуер разполага с възможности за кражба на данни и шпионаж, които събират комуникация от имейл, Telegram и WhatsApp, правят екранни снимки и записват аудио.
Авторът на заплахата е насочил усилията си основно към лица в САЩ, Великобритания и Нидерландия, чиито агенции за киберсигурност публикуваха съвместно предупреждение с ФБР.
Типичната атака започва със съобщения за социално инженерство, представящи се за доверени контакти или агенти за техническа поддръжка, изпратени до целите чрез WhatsApp или Telegram.
Атакуващият подмамва жертвите да отворят злонамерени файлове, дегизирани като легитимни приложения (напр. Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass), като често предлага да ги стартират на лични устройства, за да заобиколят корпоративните блокове за сигурност.
В зависимост от използвания предтекст, хакерите понякога са използвали дори примамки, свързани с медицината, установиха агенциите.
Приложенията показват убедителен интерфейс, който съответства на примамката, докато тихо инсталират CHOSEN BRICK във фонов режим и си осигуряват устойчивост чрез ключовете Run в Windows Registry.
Зловредният софтуер добавя изключения в Microsoft Defender, за да избегне откриването, и се свързва с уникален бот в Telegram, който съответства на идентификатора на жертвата и осигурява командване и контрол (C2).
След като бъде стартиран, CHOSEN BRICK може да извършва следните действия:
- Събиране на системна информация
- Изброяване на работещите процеси
- Заснемане на екранни снимки
- Запис на аудио през микрофона
- Кражба на съдържание от имейли
- Кражба на данни от браузъра за Telegram или WhatsApp
- Изтегляне на допълнителен зловреден код в „C:\Windows \SysWOW64“
- Изтриване на файлове
- Пълно унищожаване на хост системата
Откраднатите данни се извличат чрез Telegram или облачни услуги като VultrObjects и StorjShare, докато по-новите варианти на CHOSEN BRICK пренасочват трафика през SOCKS5 проксита, за да скрият активността.
В предупреждението се отбелязва, че откраднатите данни понякога попадат в проирански сайтове за изтичане на информация, което служи като форма на тормоз и увеличава физическия риск за дисидентите в чужбина.
„Иран почти сигурно използва киберактивност, за да подкрепи репресиите срещу лица, които се разглеждат като заплаха за режима, като дисиденти, активисти и журналисти“, казват правителствените агенции.
„В някои случаи иранските разузнавателни служби са планирали отвличания или смъртоносни операции срещу лица в международен мащаб, които възприемат като врагове на режима.“
Потенциалните жертви и организации трябва да проверят записите в Registry Run за съмнителни вписвания и да търсят в логовете индикатори за компрометиране (IoC), споделени в предупреждението.
Неочаквани връзки към API на Telegram, Backblaze B2, VultrObjects, StorjShare, IPRoyal и LightningProxies трябва да се разследват като съмнителни.