Britische, US-amerikanische und niederländische Behörden warnen vor iranischer Malware gegen Dissidenten und Journalisten

Cybersicherheitsbehörden im Vereinigten Königreich, in den USA und in den Niederlanden haben eine Warnmeldung zu CHOSEN BRICK veröffentlicht, einer Malware-Familie, die mit staatlich unterstützten iranischen Akteuren in Verbindung steht und international gegen Dissidenten, Aktivisten und Journalisten eingesetzt wird.

Das britische National Cyber Security Centre (NCSC) teilte mit, dass die Kampagne seit mindestens 2025 Personen in Ländern wie dem Vereinigten Königreich, den USA und den Niederlanden ins Visier genommen habe. Behörden gehen davon aus, dass iranische Stellen Cyberoperationen einsetzen, um Personen zu überwachen und zu unterdrücken, die als Gegner des Regimes angesehen werden. Der Diebstahl von Kontakten sowie E-Mail- und Social-Media-Kommunikation kann es den Akteuren zudem ermöglichen, detaillierte Profile der Opfer zu erstellen und möglicherweise ihre Bewegungen nachzuverfolgen.

Der Warnmeldung zufolge wurden bei einigen Personen, die zuvor von der Malware betroffen waren, später persönliche Daten auf proiranischen Leak-Websites veröffentlicht. Dies weckt Bedenken hinsichtlich möglicher Risiken für ihre körperliche Sicherheit. Iranischen Geheimdiensten wurde bereits zuvor vorgeworfen, Entführungen und tödliche Operationen gegen mutmaßliche Gegner im Ausland geplant zu haben.

Auf Ziele zugeschnittenes Social Engineering

Berichten zufolge beginnen die Akteure damit, über Messenger-Dienste wie WhatsApp und Telegram Vertrauen aufzubauen. Sie können sich als bekannter Kontakt oder als Support-Mitarbeiter einer Plattform ausgeben und dabei Informationen über das vorgesehene Opfer nutzen, um ihre Kontaktaufnahme überzeugender wirken zu lassen.

Anschließend werden die Opfer dazu bewegt, Dateien zu öffnen oder Software zu installieren, die legitim erscheint. Beobachtete Köder gaben sich als Anwendungen wie Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player und KeePass sowie als angebliche MRT-Untersuchungsergebnisse aus. Die betrügerischen Programme zeigen Oberflächen, die ihrem beworbenen Zweck entsprechen, während sie im Hintergrund die CHOSEN-BRICK-Nutzlast installieren.

Auf Windows ausgerichtete Überwachungsfunktionen

Die Malware wurde bei Angriffen auf Windows-Geräte beobachtet. Sie kann den Zugriff nach einem Neustart aufrechterhalten, indem sie registrierungsbasierte Autostart-Einträge erstellt, und versucht möglicherweise, den Schutz durch Microsoft Defender zu schwächen, indem sie Antivirus-Ausschlüsse hinzufügt. Sie kommuniziert über Telegram-Bots mit den Akteuren, wobei für einzelne Opfer separate Bot-Identifikatoren verwendet werden.

CHOSEN BRICK kann Daten sammeln und Befehle mithilfe integrierter Windows-Tools ausführen. Obwohl Analysten bislang nicht beobachtet haben, dass sie sich automatisch zwischen Systemen verbreitet, kann sie zusätzliche Malware herunterladen, was die Auswirkungen einer Kompromittierung ausweiten könnte.

• Seien Sie vorsichtig bei unerwarteten Dateien und Aufforderungen zur Softwareinstallation, die über Messenger-Apps gesendet werden.
• Überprüfen Sie Identitäten über einen unabhängigen Kanal, bevor Sie Anhänge öffnen oder Anweisungen des technischen Supports befolgen.
• Lassen Sie Endpoint-Schutzmaßnahmen aktiviert und untersuchen Sie unerklärliche Antivirus-Ausschlüsse oder neue Autostart-Einträge in der Registrierung.
• Organisationen, die gefährdete Personen unterstützen, sollten sicherstellen, dass persönliche Geräte angemessene Sicherheitsanleitungen und Unterstützung erhalten.