Иранские хакеры используют вредоносную программу CHOSEN BRICK для Windows, чтобы шпионить за целями.

[admin]

Правительственные ведомства предупреждают, что связанные с иранским государством хакеры используют вредоносную программу для Windows под названием CHOSEN BRICK для атак на диссидентов, активистов и журналистов по всему миру.


Вредоносная программа обладает возможностями кражи данных и шпионажа, собирает электронные письма, сообщения в Telegram и WhatsApp, делает снимки экрана и записывает аудио.


Злоумышленник в первую очередь атаковал частных лиц в США, Великобритании и Нидерландах, чьи агентства по кибербезопасности опубликовали совместное предупреждение с ФБР.

Типичная атака начинается с рассылки сообщений, использующих методы социальной инженерии, от имени доверенных лиц или агентов технической поддержки, через WhatsApp или Telegram.


Злоумышленник обманом заставляет жертв открывать вредоносные файлы, замаскированные под легитимные приложения (например, Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass), часто предлагая запустить их на личных устройствах, чтобы обойти корпоративные блокировки безопасности.


Как выяснили спецслужбы, в зависимости от предлога хакеры иногда использовали даже приманки, связанные с медициной.

Документ с МРТ-снимка использован в качестве приманки.
Источник: NCSC

Приложения демонстрируют убедительный интерфейс, соответствующий их привлекательности, при этом незаметно устанавливая CHOSEN BRICK в фоновом режиме и обеспечивая постоянное присутствие с помощью ключей Run в реестре Windows.


Вредоносная программа добавляет исключения в Microsoft Defender, чтобы избежать обнаружения, и подключается к уникальному боту в Telegram, который соответствует идентификатору жертвы, обеспечивая управление и контроль (C2).


После запуска CHOSEN BRICK может выполнять следующие действия:

• Соберите системную информацию.
• Перечислите запущенные процессы
• Сделать скриншоты
• Запись звука через микрофон
• Кража содержимого электронных писем
• Кража данных браузера Telegram или WhatsApp
• Загрузите дополнительные полезные нагрузки в папку “C:\Windows\SysWOW64”
• Удалить файлы
• Полностью очистить хост-систему.

Украденные данные распространяются через Telegram или облачные сервисы, такие как VultrObjects и StorjShare, в то время как более новые варианты CHOSEN BRICK направляют трафик через прокси-серверы SOCKS5 для сокрытия активности.


В предупреждении отмечается, что украденные данные иногда попадают на проиранские сайты, занимающиеся утечками информации, что служит формой преследования и повышает физическую опасность для диссидентов за рубежом.


«Иран почти наверняка использует кибердеятельность для поддержки репрессий против лиц, которые рассматриваются как угроза режиму, таких как диссиденты, активисты и журналисты», — заявляют правительственные ведомства.


«В некоторых случаях иранские спецслужбы планировали похищение людей или проведение смертоносных операций против лиц, находящихся за рубежом, которых они считают врагами режима».


Потенциальным жертвам и организациям следует проверить записи в реестре на наличие подозрительных записей, а также журналы поиска индикаторов компрометации (IoC), указанных в уведомлении.


Неожиданные подключения к API Telegram, Backblaze B2, VultrObjects, StorjShare, IPRoyal и LightningProxies следует рассматривать как подозрительные.

Источник