伊朗黑客使用 CHOSEN BRICK Windows 恶意软件监视目标

政府机构警告称，与伊朗国家有关联的黑客正在使用一款名为 CHOSEN BRICK 的 Windows 恶意软件，针对世界各地的异见人士、活动人士和记者。

该恶意软件具备数据窃取和间谍功能，可收集电子邮件、Telegram 和 WhatsApp 通信内容、截取屏幕截图并录制音频。

该威胁行为者主要针对美国、英国和荷兰的个人，这三个国家的网络安全机构与 FBI 联合发布了一份公告。

一次典型的攻击始于通过 WhatsApp 或 Telegram 发送给目标的、冒充可信联系人或技术支持人员的社工消息。

该威胁行为者诱骗受害者打开伪装成合法应用（例如 Pictory、RunwayML、Norton Antivirus、Telegram、Adobe Flash Player、KeePass）的恶意文件，常常建议他们在个人设备上启动这些文件，以绕过企业安全拦截。

各机构发现，根据所使用的借口，黑客有时甚至使用与医疗相关的诱饵。

这些应用会显示一个与诱饵相符的逼真界面，同时在后台静默安装 CHOSEN BRICK，并通过 Windows 注册表 Run 键确保持久化。

该恶意软件添加 Microsoft Defender 排除项以规避检测，并连接到一个与受害者 ID 相匹配的专属 Telegram 机器人，从而提供命令与控制 (C2)。

一旦启动，CHOSEN BRICK 可执行以下操作：

• 收集系统信息
• 枚举正在运行的进程
• 截取屏幕截图
• 通过麦克风录制音频
• 窃取电子邮件内容
• 窃取 Telegram 或 WhatsApp 浏览器数据
• 下载额外载荷至 "C:\Windows \SysWOW64"
• 删除文件
• 擦除整个主机系统

窃取的数据通过 Telegram 或 VultrObjects、StorjShare 等云服务外泄，而较新的 CHOSEN BRICK 变种会通过 SOCKS5 代理路由流量以隐藏活动。

公告指出，窃取的数据有时会出现在亲伊朗的泄露网站上，作为一种骚扰形式，并加大海外异见人士的人身风险。

"伊朗几乎可以肯定利用网络活动来支持对被视为政权威胁的个人的镇压，例如异见人士、活动人士和记者，"各政府机构表示。

"在某些情况下，伊朗情报机构曾策划在国际上绑架或对个人实施致命行动，这些人被其视为政权的敌人。"

潜在受害者和组织应检查注册表 Run 条目中是否有可疑条目，并在日志中搜索公告中分享的失陷指标 (IoC)。

与 Telegram API、Backblaze B2、VultrObjects、StorjShare、IPRoyal 和 LightningProxies 的异常连接应作为可疑情况加以调查。