В пересказе The Insider говорится, что NCSC, ФБР США и нидерландская служба AIVD предупредили о кампании Chosen Brick, которую, по их данным, используют связанные с иранскими спецслужбами хакеры. По меньшей мере с 2025 года атаки фиксировали в Великобритании, США и Нидерландах.
По данным спецслужб, вредонос дает доступ к контактам, переписке в мессенджерах и электронной почте жертвы. Это позволяет отслеживать ее перемещения и круг общения, а личные данные некоторых жертв позже появлялись на проиранских сайтах для публикации утечек.
Атаки обычно начинаются в WhatsApp и Telegram: злоумышленник выдает себя за знакомого жертвы или за службу поддержки платформы и убеждает открыть зараженный файл. Вложения маскируют под Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass или под файлы с результатами МРТ.
Сначала хакеры пытаются заразить рабочее устройство, а если это не удается, переводят переписку на личный телефон или компьютер, чтобы обойти корпоративную защиту. Chosen Brick работает только на Windows, закрепляется в системе через ключи реестра и может отключать часть защиты Microsoft Defender.
Связь с оператором идет через бота в Telegram, причем у каждой зараженной машины свой уникальный бот. Через него можно включать микрофон и камеру, делать скриншоты, выгружать переписку из Telegram и WhatsApp, красть почту, удалять файлы и полностью стирать данные с компьютера. Похищенные файлы пересылаются через Telegram-бота и облачные хранилища, а в последних версиях вредонос дополнительно маскирует трафик. Спецслужбы рекомендуют проверять автозапуск в реестре Windows, не устанавливать программы по присланным ссылкам и из вложений, регулярно обновлять устройства и включать двухфакторную аутентификацию.
В июне 2025 года после израильских ударов по иранской территории сообщалось, что власти Ирана резко активизировали охоту на людей, подозреваемых в сотрудничестве с израильской разведкой и в критике режима. Тогда же было известно о десятках арестов по подозрению в шпионаже в пользу «Моссада».
Источники
