Il National Cyber Security Centre (NCSC) del Regno Unito, in collaborazione con l’FBI e il Servizio generale di intelligence e sicurezza dei Paesi Bassi (AIVD), ha emesso un avviso congiunto riguardo a una campagna spyware attribuita ad attori legati allo Stato iraniano.
Secondo l’avviso, la campagna ha preso di mira persone considerate dall’Iran critiche o oppositrici del governo, tra cui dissidenti, attivisti e giornalisti. Secondo quanto riferito, gli obiettivi hanno incluso individui al di fuori dell’Iran, compreso il Regno Unito.
Le agenzie hanno affermato che gli operatori utilizzano metodi di spear phishing e ingegneria sociale per convincere le vittime a installare malware noto come CHOSEN BRICK. Secondo quanto riferito, gli aggressori hanno impersonato contatti fidati tramite servizi quali WhatsApp e Telegram, talvolta instaurando una relazione con gli obiettivi prima di inviare file o link dannosi. Gli esche sono state adattate agli interessi delle vittime e, almeno in alcuni casi, hanno incluso documenti medici falsificati.
Capacità del malware
L’avviso afferma che CHOSEN BRICK è progettato per sistemi Windows e può rimanere attivo dopo il riavvio di un dispositivo. Una volta installato, può raccogliere dati inclusi contatti, contenuti email e messaggi provenienti dalle piattaforme di social media. Il malware può inoltre acquisire l’attività sullo schermo e accedere al microfono di un dispositivo, hanno dichiarato le agenzie.
I funzionari hanno avvertito che le informazioni sottratte dai dispositivi compromessi sono, in alcuni casi, apparse su siti di diffusione di dati filoiraniani. Tali divulgazioni possono aumentare i rischi per la sicurezza e la privacy delle persone coinvolte.
Precauzioni consigliate
L’NCSC ha incoraggiato le persone che potrebbero affrontare rischi elevati di sorveglianza a consultare l’avviso tecnico e a utilizzare il supporto di sicurezza disponibile. I passaggi consigliati includono:
- Prestare attenzione a messaggi, allegati e link inattesi, compresi quelli inviati da apparenti conoscenti.
- Verificare le richieste sensibili o insolite attraverso un canale di comunicazione separato e affidabile.
- Mantenere aggiornati sistemi operativi, browser e software di sicurezza.
- Utilizzare password robuste e univoche e abilitare l’autenticazione a più fattori ove disponibile.
- Richiedere assistenza specialistica se viene individuata attività sospetta su un dispositivo o un account.
L’NCSC ha affermato di ritenere che l’Iran utilizzi operazioni informatiche per sostenere la repressione di persone considerate minacce al regime. La pubblicazione congiunta fornisce indicatori e linee guida di mitigazione volte ad aiutare organizzazioni e singoli individui a rilevare potenziali compromissioni e a ridurre l’esposizione alla campagna.