El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido, en colaboración con el FBI y el Servicio General de Inteligencia y Seguridad de los Países Bajos (AIVD), ha emitido una advertencia conjunta sobre una campaña de spyware atribuida a actores vinculados al Estado iraní.
Según el aviso, la campaña ha tenido como objetivo a personas consideradas por Irán como críticas u opositoras al Gobierno, incluidos disidentes, activistas y periodistas. Al parecer, los objetivos han incluido a personas fuera de Irán, incluso en el Reino Unido.
Las agencias indicaron que los operadores utilizan métodos de spear phishing e ingeniería social para persuadir a las víctimas de instalar malware conocido como CHOSEN BRICK. Según los informes, los atacantes se han hecho pasar por contactos de confianza a través de servicios como WhatsApp y Telegram, desarrollando en ocasiones una relación con los objetivos antes de enviar archivos o enlaces maliciosos. Los señuelos se han adaptado a los intereses de las víctimas y, al menos en algunos casos, han incluido documentos médicos falsificados.
Capacidades del malware
El aviso señala que CHOSEN BRICK está diseñado para sistemas Windows y puede permanecer activo después de reiniciar un dispositivo. Una vez instalado, puede recopilar datos como contactos, contenido de correo electrónico y mensajes de plataformas de redes sociales. El malware también puede capturar la actividad de la pantalla y acceder al micrófono de un dispositivo, indicaron las agencias.
Los funcionarios advirtieron que la información extraída de dispositivos comprometidos ha aparecido, en algunos casos, en sitios de filtraciones proiraníes. Estas divulgaciones pueden aumentar los riesgos para la seguridad y la privacidad de las personas afectadas.
Precauciones recomendadas
El NCSC animó a las personas que puedan enfrentarse a mayores riesgos de vigilancia a revisar el aviso técnico y utilizar el apoyo de seguridad disponible. Entre las medidas recomendadas se incluyen:
- Tener precaución ante mensajes, archivos adjuntos y enlaces inesperados, incluidos los enviados por aparentes conocidos.
- Confirmar las solicitudes sensibles o inusuales mediante un canal de comunicación independiente y de confianza.
- Mantener actualizados los sistemas operativos, los navegadores y el software de seguridad.
- Utilizar contraseñas seguras y únicas, y habilitar la autenticación multifactor siempre que esté disponible.
- Buscar asistencia especializada si se identifica actividad sospechosa en un dispositivo o cuenta.
El NCSC afirmó que evalúa que Irán utiliza operaciones cibernéticas para apoyar la represión de personas consideradas amenazas para el régimen. La publicación conjunta proporciona indicadores y orientación para la mitigación destinados a ayudar a organizaciones y particulares a detectar posibles compromisos y reducir la exposición a la campaña.