Iran, il malware Chosen Brick colpisce giornalisti e dissidenti…

Un advisory congiunto di FBI, NCSC britannico e AIVD olandese svela Chosen Brick, malware sofisticato che sorveglia dissidenti, attivisti e giornalisti tramite

{"main_topic":"malware","topics":["cybersecurity","malware","phishing"]}

Un advisory congiunto di FBI, NCSC britannico e AIVD olandese svela Chosen Brick, malware sofisticato che sorveglia dissidenti, attivisti e giornalisti tramite ingegneria sociale su WhatsApp e Telegram. L'attività è documentata almeno dal 2025.

Punti chiave

Attori informatici di stato iraniani distribuiscono Chosen Brick, noto anche come HEAVYGRAM secondo la designazione FBI, esclusivamente su sistemi Windows da almeno il 2025.
L'infezione inizia tramite messaggi su WhatsApp e Telegram da contatti apparentemente fidati, con file mascherati da applicazioni legittime come Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player e KeePass.
Il malware stabilisce persistenza nel registry Run, elude Microsoft Defender aggiungendo esclusioni, e comunica via bot Telegram unici per vittima per esfiltrare dati e ricevere comandi.
L'attribuzione è al Ministero dell'Intelligenza e Sicurezza iraniano; dati rubati sono ricomparsi su siti di leak filo-iraniani.

Come funziona l'attacco: dal messaggio alla persistenza

L'advisory congiunto emesso il 15 settembre 2026 da FBI, UK NCSC e AIVD olandese traccia con precisione la catena d'infezione. Gli attaccanti conducono ricerche approfondite sulle vittime prima del contatto iniziale, costruendo profili dettagliati che rendono credibili i messaggi successivi. Le comunicazioni arrivano su WhatsApp e Telegram, piattaforme considerate sicure per l'uso quotidiano, da numeri che imitano contatti fidati o organizzazioni conosciute.

I file malevoli non si presentano come eseguibili sospetti. Secondo The Register, le applicazioni impersonate includono Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player e KeePass. Techlicious aggiunge un dettaglio disturbante: in alcuni casi gli attaccanti hanno inviato falsi risultati MRI, scommettendo che il bersaglio aprirebbe un documento apparentemente legato alla propria salute.

Una volta eseguito, il malware si installa silenziosamente e sopravvive al riavvio del sistema. La persistenza è garantita tramite la chiave di registro HKCU\Software\Microsoft\Windows\CurrentVersion\Run, un meccanismo classico ma efficace che non richiede privilegi amministrativi elevati. Per eludere il rilevamento, Chosen Brick aggiunge esclusioni a Microsoft Defender, riducendo la visibilità delle proprie attività sulla macchina compromessa.

Cosa ruba e come comunica: l'architettura dello spionaggio

Il malware è progettato per la raccolta sistematica di informazioni personali e professionali. Secondo l'advisory citato da The Register, Chosen Brick ruba contatti, email, messaggi dai social media, cattura screenshot e audio dal microfono, enumera i processi in esecuzione e raccoglie informazioni dettagliate sul sistema. Questa combinazione di capacità trasforma il dispositivo compromesso in una piattaforma di sorveglianza totale, capace di documentare non solo cosa la vittima scrive, ma anche cosa dice e chi frequenta digitalmente.

La comunicazione con i server di comando e controllo non passa attraverso infrastrutture tradizionali facilmente riconducibili o bloccabili. Il malware si connette a Telegram utilizzando bot specifici per ogni singola vittima. Questa architettura offre agli operatori flessibilità: possono esfiltrare dati e inviare comandi remoti attraverso una piattaforma legittima, il cui traffico non desta sospetti nelle reti domestiche o aziendali. Il malware può inoltre scaricare payload aggiuntivi, estendendo le proprie capacità senza richiedere una nuova interazione con la vittima.

Un elemento rilevante per la valutazione del rischio: il movimento laterale automatizzato non è stato osservato nelle campagne documentate, ma l'advisory lo segnala come tecnicamente possibile. Questo limite nel dossier suggerisce che gli operatori privilegiano la raccolta mirata su singoli dispositivi piuttosto che l'espansione laterale all'interno di reti complesse, coerentemente con un obiettivo di sorveglianza individuale più che di distruzione o estorsione su larga scala.

"Iran almost certainly uses cyber activity to support the repression of individuals who are seen as a threat to the regime, such as dissidents, activists and journalists" — Advisory congiunto FBI/NCSC/AIVD

Attribuzione e destino dei dati: il circuito della repressione

L'attribuzione all'Iran non è generica. Secondo Techlicious, che cita direttamente il documento FBI, la campagna è ricondotta al Ministero dell'Intelligenza e Sicurezza iraniano, il MOIS. Questa designazione specifica supera il consueto riferimento a "attori sponsorizzati dallo stato" per indicare un'organizzazione governativa concreta, quella che in Iran coordina attività di intelligence interna ed esterna.

Il percorso dei dati non si ferma all'esfiltrazione. Techlicious riporta che informazioni personali sottratte a vittime precedenti di Chosen Brick sono ricomparse su siti di leak filo-iraniani. Questo dettaglio è significativo: trasforma il malware da strumento di raccolta in anello di una catena di repressione pubblica, dove la compromissione digitale alimenta l'intimidazione e l'esposizione mediatica dei dissidenti.

La citazione di Paul Chichester, direttore delle operazioni del NCSC, sintetizza il quadro: "The details of this cyber campaign reveal how Iran ruthlessly uses digital surveillance in pursuit of its aim to repress critics of the regime, stealing emails and messages and accessing devices". La scelta lessicale — "ruthlessly", spietatamente — non è retorica giornalistica ma riflette la valutazione delle agenzie coinvolte.

Cosa fare adesso

Verificare i dispositivi personali dei dipendenti a rischio: giornalisti, attivisti, ricercatori e collaboratori con esposizione pubblica devono considerare i propri laptop e smartphone Windows come estensione del perimetro aziendale, non come ambito privato escluso dai controlli.
Ispezionare le esclusioni di Microsoft Defender: la tecnica di Chosen Brick per eludere il rilevamento passa attraverso la modifica delle esclusioni antivirus. Un controllo periodico delle policy e degli elenchi di esclusione può rivelare compromissioni attive.
Scegliere l'apertura dei file con cautela: i file eseguibili mascherati da applicazioni legittime rappresentano il vettore primario. L'advisory evidenzia che gli attaccanti investono in ricerca preliminare sulla vittima, rendendo il social engineering altamente personalizzato e quindi più pericoloso.
Monitorare il traffico verso Telegram non justificato: l'uso di bot Telegram unici per vittima come canale C2 è un pattern distintivo. Anomalie di connessione verso API o domini Telegram da sistemi che non dovrebbero utilizzare l'app possono segnalare infezioni attive.

Il perimetro dimenticato: quando il telefono di casa è il varco

L'advisory delle tre agenza rappresenta un'escalation documentata nella sorveglianza digitale statalizzata. La novità non sta nella sofisticazione tecnica: Chosen Brick impiega tecniche di persistenza note e canali C2 che sfruttano servizi consumer. La novità sta nel bersaglio e nel metodo. I giornalisti, i dissidenti e gli attivisti non sono più obiettivi teorici di intelligence economica o militare, ma bersagli operativi di malware distribuito tramite le stesse piattaforme che usano per comunicare con familiari e colleghi.

Questa campagna espone una falsa sicurezza diffusa: la separazione tra dispositivo aziendale e personale, tra rete protetta e connessione domestica, tra profilo professionale e identità privata. Quando l'attaccante studia la vittima per settimane e invia un file che sembra un risultato medico personale, il perimetro tecnologico tradizionale diventa ininfluente. La difzione non richiede firewall più costosi ma una riprogettazione del concetto stesso di rischio: chi è visibile pubblicamente — per opinione, per mestiere, per scelta politica — porta con sé un dispositivo personale che può diventare la porta d'ingresso per la propria rete professionale e quella dei propri contatti.

Il dossier non specifica il numero esatto di vittime confermate né la geografia precisa oltre all'ambito "in tutto il mondo". Non documenta inoltre l'esistenza di indicatori di compromissione pubblicati nell'advisory originale, né connessioni tecniche verificate tra Chosen Brick e campagne precedenti attribuite all'Iran. Questi limiti lasciano aperti interrogativi sulla reale estensione della campagna e sulla possibilità che varianti non ancora documentate siano attive con tecniche di consegna diverse.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter