Das britische National Cyber Security Centre (NCSC) hat gemeinsam mit dem FBI und dem niederländischen Allgemeinen Nachrichten- und Sicherheitsdienst (AIVD) eine gemeinsame Warnung vor einer Spyware-Kampagne herausgegeben, die Akteuren mit Verbindungen zum iranischen Staat zugeschrieben wird.
Der Warnmeldung zufolge richtete sich die Kampagne gegen Personen, die vom Iran als Kritiker oder Gegner der Regierung angesehen werden, darunter Dissidenten, Aktivisten und Journalisten. Berichten zufolge gehörten auch Personen außerhalb Irans, unter anderem im Vereinigten Königreich, zu den Zielen.
Die Behörden erklärten, die Betreiber nutzten Spear-Phishing- und Social-Engineering-Methoden, um Opfer zur Installation der als CHOSEN BRICK bekannten Malware zu bewegen. Angreifer sollen sich über Dienste wie WhatsApp und Telegram als vertrauenswürdige Kontakte ausgegeben und teils zunächst eine Beziehung zu den Zielpersonen aufgebaut haben, bevor sie schädliche Dateien oder Links versandten. Die Köder wurden an die Interessen der Opfer angepasst und enthielten in mindestens einigen Fällen gefälschte medizinische Dokumente.
Funktionen der Malware
Der Warnmeldung zufolge ist CHOSEN BRICK für Windows-Systeme konzipiert und kann nach dem Neustart eines Geräts aktiv bleiben. Nach der Installation kann die Malware Daten wie Kontakte, E-Mail-Inhalte und Nachrichten von Social-Media-Plattformen sammeln. Zudem kann sie Bildschirmaktivitäten aufzeichnen und auf das Mikrofon eines Geräts zugreifen, so die Behörden.
Die Behörden warnten, dass von kompromittierten Geräten entwendete Informationen in einigen Fällen auf proiranischen Leak-Websites erschienen seien. Solche Veröffentlichungen können die Risiken für die Sicherheit und Privatsphäre betroffener Personen erhöhen.
Empfohlene Vorsichtsmaßnahmen
Das NCSC forderte Personen mit möglicherweise erhöhtem Überwachungsrisiko dazu auf, die technische Warnmeldung zu prüfen und verfügbare Sicherheitsunterstützung in Anspruch zu nehmen. Zu den empfohlenen Maßnahmen zählen:
- Seien Sie bei unerwarteten Nachrichten, Anhängen und Links vorsichtig, auch wenn diese scheinbar von Bekannten stammen.
- Bestätigen Sie sensible oder ungewöhnliche Anfragen über einen separaten, vertrauenswürdigen Kommunikationskanal.
- Halten Sie Betriebssysteme, Browser und Sicherheitssoftware auf dem neuesten Stand.
- Verwenden Sie starke, einzigartige Passwörter und aktivieren Sie, wo verfügbar, die Multi-Faktor-Authentifizierung.
- Holen Sie spezialisierte Unterstützung ein, wenn auf einem Gerät oder Konto verdächtige Aktivitäten festgestellt werden.
Das NCSC erklärte, es bewerte, dass Iran Cyberoperationen zur Unterdrückung von Personen einsetzt, die als Bedrohung für das Regime angesehen werden. Die gemeinsame Veröffentlichung enthält Indikatoren und Hinweise zu Gegenmaßnahmen, die Organisationen und Einzelpersonen dabei helfen sollen, mögliche Kompromittierungen zu erkennen und die Gefährdung durch die Kampagne zu verringern.