Связанные с государством Ирана киберпреступники атакуют диссидентов через CHOSEN BRICK
CHOSEN BRICK, семейство вредоносного ПО для Windows, с 2025 года используют киберпреступники, связанные с государством Ирана, для атак на диссидентов, активистов, журналистов и других лиц по всему миру.
Социальная инженерия и доставка
Операторы устанавливают контакт через WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta), Telegram и аналогичные мессенджеры. Они могут выдавать себя за знакомых и других доверенных лиц, службу технической поддержки или легитимную организацию. Для формирования доверия злоумышленники используют сведения, собранные о потенциальной жертве в ходе разведки, а затем убеждают её скачать и открыть вредоносный файл.
Для доставки CHOSEN BRICK применялись приманки, стилизованные под легитимные приложения и документы:
- приложение Pictory;
- приложение RunwayML;
- антивирус Norton Antivirus;
- приложение Telegram;
- Adobe Flash Player;
- KeePass;
- документы с результатами МРТ-сканирования.
Такие файлы отображают убедительный интерфейс легитимного программного обеспечения и одновременно устанавливают вредоносное ПО в фоновом режиме. В некоторых случаях операторы могут перенаправлять доставку с корпоративных устройств на личные, чтобы обойти средства корпоративной информационной безопасности.
Закрепление и управление
CHOSEN BRICK закрепляется через записи автозапуска в реестре Windows. Чаще всего для этого используется пользовательский ключ HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Вредоносное ПО также может добавлять исключения в Microsoft Defender.
Взаимодействие с операторами проходит через ботов в Telegram. Для каждой жертвы создаётся отдельный идентификатор бота. В последних вариантах для сокрытия трафика, связанного с Telegram, применяются прокси-серверы HTTPS или SOCKS5.
Вредоносное ПО преимущественно действует на уровне отдельных устройств и не демонстрировало автоматизированного горизонтального перемещения внутри компании. При этом CHOSEN BRICK способен загружать дополнительные полезные нагрузки и обеспечивать их закрепление. Дополнительные полезные нагрузки обычно записываются в настраиваемый путь, в том числе в нестандартный каталог C:\Windows SysWOW64.
Наблюдение, сбор данных и выгрузка
CHOSEN BRICK поддерживает функции наблюдения и удалённого управления. Операторы могут:
- перечислять процессы и собирать системную информацию;
- делать скриншоты;
- включать микрофон;
- выполнять команды с помощью нативных инструментов Windows;
- красть содержимое электронной почты;
- собирать данные из Telegram и WhatsApp через веб-браузеры.
Скриншоты могут использоваться для идентификации контактов, местоположений и паттернов повседневной жизни. CHOSEN BRICK также может загружать дополнительное вредоносное ПО и удалять файлы. Как минимум в одном образце обнаружена функция стирания данных с компьютера.
Собранные данные и файлы выгружаются через ботов в Telegram и сервисы облачного объектного хранилища, включая VultrObjects и StorjShare.
Авторы отчёта рекомендуют при расследовании потенциальной компрометации проверить:
- закрепление через ключи Run;
- неожиданные соединения с Telegram и связанными сервисами;
- изменения исключений в Microsoft Defender;
- подозрительные файлы в каталогах развертывания;
- признаки сбора данных с экрана, микрофона, из браузера и электронной почты, а также признаки сбора файлов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
