Связанные с иранскими спецслужбами хакеры используют вредоносную программу Chosen Brick для слежки за диссидентами, активистами и журналистами по всему миру — по меньшей мере с 2025 года атаки фиксировались в Великобритании, США и Нидерландах. Об этом говорится в совместном предупреждении британского Национального центра кибербезопасности (NCSC), ФБР США и нидерландской службы AIVD. Вредонос дает злоумышленникам доступ к контактам, переписке в мессенджерах и электронной почте жертвы, что позволяет отслеживать ее перемещения и круг общения.
По данным спецслужб, Иран использует кибератаки как инструмент подавления людей, которых режим считает угрозой, — в ряде случаев иранская разведка планировала похищения или ликвидации таких лиц за рубежом. Личные данные некоторых жертв Chosen Brick впоследствии появлялись на проиранских сайтах для публикации утечек, что повышало риск для их физической безопасности.
Атаки начинаются в мессенджерах, чаще всего в WhatsApp и Telegram: злоумышленник выдает себя за знакомого жертвы или за техподдержку платформы и убеждает открыть зараженный файл. Вредоносные вложения маскируются под легитимные программы — Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass — или под файлы с результатами МРТ. Сначала хакеры атакуют рабочее устройство жертвы, а если это не удается, пытаются перевести переписку на личный телефон или компьютер, чтобы обойти корпоративную защиту. Программа работает исключительно на устройствах с Windows.
Закрепившись в системе через ключи реестра, Chosen Brick отключает часть защиты Microsoft Defender и связывается с оператором через бота в Telegram — у каждой зараженной машины свой уникальный бот, чтобы жертвы не «пересекались» между собой. С его помощью хакеры могут включать микрофон и камеру, делать скриншоты, выгружать переписку из Telegram и WhatsApp, красть почту, удалять файлы или полностью стирать данные с компьютера. Похищенные файлы пересылаются через Telegram-бота и облачные хранилища, а в последних версиях вредонос дополнительно маскирует трафик.
В предупреждении организациям и частным лицам рекомендуется проверять автозапуск в реестре Windows, не устанавливать программы по присланным ссылкам и из вложений, регулярно обновлять устройства и включать двухфакторную аутентификацию.
В июне 2025 года после израильских ударов по иранской территории сообщалось, что власти страны резко активизировали охоту на людей, которых подозревают в сотрудничестве с израильской разведкой и в критике режима, — было известно о десятках арестов по подозрению в шпионаже в пользу «Моссада».
