In der Zusammenfassung von The Insider heißt es, dass NCSC, das US-amerikanische FBI und der niederländische Dienst AIVD vor der Chosen-Brick-Kampagne gewarnt hätten, die ihren Angaben zufolge von mit iranischen Geheimdiensten verbundenen Hackern eingesetzt werde. Seit mindestens 2025 wurden die Angriffe in Großbritannien, den USA und den Niederlanden registriert.
Den Geheimdiensten zufolge verschafft die Schadsoftware Zugriff auf Kontakte, Messenger-Chats und E-Mails des Opfers. So lassen sich seine Bewegungen und sein Bekanntenkreis nachverfolgen, und die persönlichen Daten einiger Opfer tauchten später auf pro-iranischen Websites für die Veröffentlichung von Leaks auf.
Die Angriffe beginnen in der Regel in WhatsApp und Telegram: Der Angreifer gibt sich als Bekannter des Opfers oder als Support des Dienstes aus und überredet es, eine infizierte Datei zu öffnen. Die Anhänge werden als Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass oder als Dateien mit MRT-Ergebnissen getarnt.
Zunächst versuchen die Hacker, das Arbeitsgerät zu infizieren, und wenn das nicht gelingt, verlagern sie die Kommunikation auf das private Telefon oder den Computer, um den Unternehmensschutz zu umgehen. Chosen Brick läuft nur unter Windows, verankert sich über Registry-Schlüssel im System und kann einen Teil des Schutzes von Microsoft Defender deaktivieren.
Die Verbindung zum Operator läuft über einen Bot in Telegram, wobei jede infizierte Maschine ihren eigenen eindeutigen Bot hat. Darüber lassen sich Mikrofon und Kamera einschalten, Screenshots anfertigen, Chats aus Telegram und WhatsApp auslesen, E-Mails stehlen, Dateien löschen und die Daten auf dem Computer vollständig löschen. Die gestohlenen Dateien werden über den Telegram-Bot und Cloud-Speicher weitergeleitet, und in den neuesten Versionen verschleiert die Schadsoftware zusätzlich den Datenverkehr. Die Geheimdienste empfehlen, den Autostart in der Windows-Registry zu überprüfen, keine Programme über zugesandte Links oder Anhänge zu installieren, Geräte regelmäßig zu aktualisieren und die Zwei-Faktor-Authentifizierung zu aktivieren.
Im Juni 2025 wurde nach israelischen Angriffen auf iranisches Gebiet berichtet, dass die iranischen Behörden die Jagd auf Menschen, die im Verdacht standen, mit dem israelischen Geheimdienst zusammenzuarbeiten und das Regime zu kritisieren, drastisch intensiviert hatten. Damals war auch von Dutzenden Festnahmen wegen des Verdachts auf Spionage zugunsten des «Mossad» die Rede.
Quellen
