CHOSEN BRICK macht vertrauenswürdige Chats zum Überwachungskanal für iranische Akteure

Eine gemeinsame Warnung von Behörden aus den Vereinigten Staaten, dem Vereinigten Königreich und den Niederlanden hat CHOSEN BRICK offengelegt – eine Windows-Schadsoftwarefamilie, die staatlich mit Iran verbundene Akteure weltweit zur Überwachung von Dissidenten, Aktivisten und Journalisten einsetzen.

Die am 16. September 2026 veröffentlichten Angaben beschreiben eine Kampagne, die mindestens seit 2025 aktiv ist. Statt eine Software-Schwachstelle auszunutzen, manipulieren die Angreifer ihre Opfer über WhatsApp und Telegram. Dabei geben sie sich als vertrauenswürdige Kontakte oder Supportmitarbeiter aus, bevor sie schädliche Dateien übermitteln.

Nach der Installation kann CHOSEN BRICK Kommunikation stehlen, Screenshots anfertigen, Audiodaten über das Mikrofon aufzeichnen, weitere Schadsoftware nachladen und Daten zerstören. Die Folgen können über den kompromittierten Computer hinausgehen: Gestohlene Informationen sind auf pro-iranischen Leak-Seiten aufgetaucht und könnten Belästigung, Nachverfolgung oder gezielte physische Angriffe erleichtern.

Angreifer verlagern den Angriff von Unternehmenssystemen auf persönliche Geräte

Die Operation beginnt mit Aufklärung und direkter Kontaktaufnahme. Angreifer wenden sich über WhatsApp oder Telegram an potenzielle Opfer und verwenden Identitäten, die eine unerwartete Datei glaubwürdig erscheinen lassen.

Sie können sich als Bekannte, vertrauenswürdige Kontakte oder Mitarbeiter des technischen Supports ausgeben. Ihr Ziel besteht nicht allein darin, einen Klick zu erreichen, sondern genügend Vertrauen aufzubauen, damit das Opfer eine Anwendung startet oder ein vermeintliches Dokument öffnet.

Bei den beobachteten Ködern wurde sich unter anderem als Folgendes ausgegeben:

• Pictory.
• RunwayML.
• Norton Antivirus.
• Telegram.
• Adobe Flash Player.
• KeePass.
• Medizinische Dokumente, darunter angebliche Ergebnisse von MRT-Untersuchungen.

Die schädliche Datei zeigt eine Oberfläche, die zur versprochenen Anwendung oder zum angeblichen Dokument passt. Währenddessen installiert sich CHOSEN BRICK und beginnt im Hintergrund mit seiner Arbeit. Dieser Köder verringert die Wahrscheinlichkeit, dass Opfer den Sicherheitsvorfall erkennen und umgehend melden.

Die Angreifer passen ihr Vorgehen außerdem an, wenn Unternehmensschutzmaßnahmen den Angriff abfangen. Der Kontakt kann auf einem Unternehmensgerät beginnen. Wenn Sicherheitskontrollen jedoch die Ausführung blockieren, versucht der Angreifer, den Austausch auf den persönlichen Windows-Computer des Opfers zu verlagern.

Dadurch entsteht eine erhebliche Schutzlücke. Auf privaten Systemen fehlen möglicherweise Application-Allowlisting, zentrale Protokollierung, Endpoint Detection sowie die Überwachung, die auf verwalteten Unternehmensgeräten verfügbar ist. Außerdem kann eine Organisation einen blockierten Anhang nicht als Ende des Vorfalls betrachten.

Registry-Persistenz und Defender-Ausnahmen halten das Implantat aktiv

Jede beobachtete CHOSEN BRICK-Infektion betraf laut dem gemeinsamen Behördenbericht zur Kampagne Microsoft Windows. Welche Windows-Versionen genau betroffen waren, wurde nicht mitgeteilt.

Nach der Ausführung richtet die Schadsoftware Persistenz über Windows-Registry-Run-Schlüssel ein. Dadurch kann sie beim Anmelden des Benutzers oder nach einem Neustart des Computers erneut gestartet werden. Verteidiger sollten daher die Run-Pfade auf kürzlich angelegte Werte prüfen, die auf ungewöhnliche ausführbare Dateien, durch Benutzer beschreibbare Verzeichnisse oder unerwartete Systempfade verweisen.

CHOSEN BRICK fügt außerdem Ausnahmen in Microsoft Defender hinzu. Dadurch kann die lokale Antivirenprüfung bestimmte von der Schadsoftware verwendete Dateien, Ordner, Prozesse oder Speicherorte auslassen.

Eine Defender-Ausnahme ist nicht grundsätzlich schädlich, da Administratoren und legitime Anwendungen solche Ausnahmen gelegentlich anlegen. Entscheidend ist der Kontext. Eine neue Ausnahme ist deutlich verdächtiger, wenn sie zeitlich mit einem kürzlich heruntergeladenen Installer, einer unerwarteten Unterhaltung in einem Messaging-Dienst oder einem neuen Registry-Run-Eintrag zusammenfällt.

Anschließend verbindet die Schadsoftware den infizierten Endpunkt mit einer auf Telegram basierenden Command-and-Control-Infrastruktur. Berichten zufolge erhält jede Infektion einen eigenen Telegram-Bot oder eine eindeutige Bot-Kennung, die dem jeweiligen Opfer zugeordnet ist. Diese Trennung erleichtert den Angreifern die individuelle Verwaltung der Ziele und verringert das Risiko, dass Befehle oder gestohlene Daten zwischen verschiedenen Operationen vermischt werden.

Eine automatisierte Fähigkeit zur lateralen Bewegung wurde nicht gemeldet. CHOSEN BRICK kann jedoch weitere Payloads abrufen und den Angreifern dadurch ermöglichen, den Zugriff nach der Erstinfektion manuell auszuweiten.

Telegram, Cloud-Speicher und SOCKS5-Proxys übertragen den Datenverkehr

Telegram erfüllt in der Kampagne zwei Funktionen: Es dient als Kanal für Social Engineering und ist Teil der Command-and-Control-Infrastruktur der Schadsoftware. Darüber kann die Schadsoftware auch gesammelte Daten übertragen.

Weitere Infrastruktur für Exfiltration und operative Aktivitäten umfasst:

• Backblaze B2.
• VultrObjects.
• StorjShare.
• IPRoyal.
• LightningProxies.
• Die Telegram API.

Neuere CHOSEN BRICK-Varianten leiten Verbindungen Berichten zufolge über SOCKS5-Proxys. Dadurch wird die direkte Verbindung zwischen einem infizierten Endpunkt und Aktivitäten der Angreifer verschleiert.

Verbindungen zu diesen Diensten reichen allein nicht aus, um eine Infektion festzustellen. Mehrere davon bieten legitime Cloud-Speicher- oder Netzwerkdienste an. Verteidiger sollten sie mit Hinweisen vom Endpunkt korrelieren, etwa verdächtiger Persistenz, der Erstellung von Archiven, dem Zugriff auf Browser-Datenbanken, der Aufnahme von Screenshots, der Mikrofonverwendung oder ungewöhnlichen Dateizugriffen.

Datenverkehr zu Telegram-Infrastruktur verdient auf Systemen besondere Aufmerksamkeit, deren Benutzer Telegram normalerweise nicht benötigen. Sicherheitsteams sollten außerdem nach Bot-gesteuerter Kommunikation und wiederholten verschlüsselten ausgehenden Verbindungen suchen, die kurz nach dem Start einer unbekannten ausführbaren Datei beginnen.

Das gemeldete Ziel für sekundäre Payloads lautet:

C:\Windows \SysWOW64

Der veröffentlichte Pfad enthält ein Leerzeichen zwischen Windows und \SysWOW64. Ermittler sollten diese Zeichenfolge exakt bewahren und zugleich prüfen, ob das Leerzeichen einen tatsächlichen Hinweis auf das Dateisystem darstellt oder auf einen Formatierungsfehler zurückgeht. Bei der Suche sollten beide Möglichkeiten berücksichtigt werden, anstatt den Pfad stillschweigend zu normalisieren.

Überwachung kann in die Zerstörung von Daten eskalieren

CHOSEN BRICK verbindet das Sammeln von Informationen mit störenden Funktionen. Zu den gemeldeten Fähigkeiten gehören das Erfassen von Systeminformationen, die Auflistung von Prozessen, das Anfertigen von Screenshots und die Audioaufzeichnung über das Mikrofon des Computers.

Die Schadsoftware kann außerdem in Browsern gespeicherte Kommunikation angreifen, darunter:

• E-Mail-Inhalte.
• Browserdaten von Telegram.
• Browserdaten von WhatsApp.
• Weitere in Browsern gespeicherte Kommunikationsdaten.

Die Schadsoftware kann sekundäre Payloads herunterladen und ausführen. Dadurch können die Angreifer Funktionen nachladen, die im ursprünglichen Implantat nicht enthalten sind. Bei einer ersten Erkennung darf die Suche daher nicht auf Artefakte von CHOSEN BRICK beschränkt bleiben. Incident Responder müssen auch nach nachgelagerten Tools und Befehlen suchen.

Zu den zerstörerischen Optionen gehören das Löschen von Dateien, die Ausführung von Befehlen zur Datenentfernung und das vollständige Löschen des infizierten Hosts. Ein CVSS-Score wurde nicht veröffentlicht, da es sich um eine Schadsoftwarekampagne und nicht um eine mit einer CVE versehene Schwachstelle handelt.

Die Bedrohung ist besonders schwerwiegend, weil die gesammelten Daten die physische Sicherheit gefährden können. Iranischen Nachrichtendiensten wurde in einigen Fällen zugeschrieben, Entführungen oder tödliche Operationen gegen mutmaßliche Regimegegner im Ausland zu planen. Von einem Gerät abgegriffene Informationen könnten Aufenthaltsorte, persönliche Beziehungen, Kommunikation, Reisepläne oder die Identitäten weiterer gefährdeter Personen offenlegen.

Gestohlene persönliche Informationen wurden außerdem auf pro-iranischen Leak-Seiten veröffentlicht, offenbar mit dem Ziel, Opfer einzuschüchtern und zu belästigen. Bei politisch exponierten Zielpersonen muss die Incident Response daher über die Wiederherstellung des Computers hinausgehen.

Erkennung muss Messaging-, Endpunkt- und Netzwerkdaten korrelieren

Sicherheitsteams sollten zunächst die Windows-Registry-Run-Pfade und die Ausnahmen in Microsoft Defender überprüfen. Neu angelegte Einträge sollten mit Messaging-Aktivitäten, Dateidownloads, Benutzeranmeldungen und Prozessausführungen korreliert werden.

Die Netzwerküberwachung sollte nach unerwartetem Zugriff auf die Telegram API, Backblaze B2, VultrObjects, StorjShare, IPRoyal und LightningProxies suchen. Analysten sollten den Einsatz von SOCKS5 auf Endpunkten untersuchen, für die keine dokumentierte geschäftliche Notwendigkeit besteht.

Zu den wichtigsten Prioritäten bei der Endpunkterkennung gehören:

• Ungewöhnlicher Zugriff auf das Mikrofon.
• Automatisierte Erstellung von Screenshots.
• Zugriff auf Browser-Datenbanken oder Kommunikationsspeicher.
• Auflistung von Prozessen durch eine unbekannte Binärdatei.
• Downloads in Windows-Systemverzeichnisse.
• Verdächtige untergeordnete Prozesse, die von kürzlich heruntergeladenen Anwendungen gestartet werden.
• Befehle, die Dateien löschen oder einen Host auf das vollständige Löschen vorbereiten.
• Defender-Ausnahmen für durch Benutzer beschreibbare Verzeichnisse oder Verzeichnisse zur Ablage von Payloads.

Ermittler sollten, soweit möglich, die Zeitabläufe auf Unternehmens- und Privatgeräten vergleichen. Ein blockierter Übermittlungsversuch auf einem verwalteten System, auf den die Aufforderung folgt, die Unterhaltung auf einem persönlichen Gerät fortzusetzen, ist ein besonders relevantes Muster.

Organisationen sollten außerdem die zusätzlichen Indikatoren beschaffen, die zusammen mit der gemeinsamen Warnung veröffentlicht wurden, und sie auf Endpunkt-, Firewall-, Proxy-, DNS-, Cloud- und Identitätsdaten anwenden. Die öffentlich gemeldeten Infrastrukturnamen sind Ausgangspunkte, keine vollständige Erkennungsgrundlage.

Die Reaktion muss Systeme und Menschen schützen

Potenzielle Opfer sollten keine Installer oder medizinischen Dateien starten, die ihnen über unerwartete WhatsApp- oder Telegram-Unterhaltungen zugestellt werden – auch dann nicht, wenn der Absender vertraut wirkt. Die Verifizierung sollte über einen separaten, zuvor vertrauenswürdigen Kommunikationskanal erfolgen.

Organisationen, die Journalisten, Aktivisten und Dissidenten unterstützen, sollten Ausführungskontrollen einsetzen, um nicht genehmigte Installer und Dienstprogramme zu blockieren. Für besonders gefährdete Personen ist ein gleichwertiger Schutz auf privaten Geräten erforderlich, wenn diese im Rahmen der Arbeit oder für sensible Gespräche verwendet werden.

Bei Verdacht auf eine Infektion sollten Incident Responder:

1. Forensische Beweismittel sichern, bevor Dateien gelöscht oder Persistenzmechanismen verändert werden.
2. Den betroffenen Endpunkt mit einer Methode isolieren, die den Angreifer nicht unnötig alarmiert.
3. Registry-Run-Einträge und Defender-Ausnahmen überprüfen.
4. Kommunikation mit Telegram, Cloud-Speichern und Proxys identifizieren.
5. Nach sekundären Payloads und destruktiven Befehlen suchen.
6. Offen gelegte Zugangsdaten über ein nachweislich sauberes Gerät zurücksetzen.
7. Kompromittierte Systeme neu aufsetzen, wenn ihre Integrität nicht festgestellt werden kann.
8. Daten ausschließlich aus geprüften und geschützten Backups wiederherstellen.

Die Reaktionsplanung sollte sichere Kommunikationswege außerhalb des betroffenen Geräts vorsehen. Wenn ein Opfer politischer oder physischer Gefahr ausgesetzt ist, müssen Organisationen gegebenenfalls auch geeignete Behörden und Fachleute für persönliche Sicherheit einbinden.

CHOSEN BRICK ist nicht bloß ein Credential Stealer. Die gemeldete Kombination aus Überwachung, Payload-Zustellung und dem Löschen des Hosts verschafft seinen Betreibern sowohl Möglichkeiten zur Informationsbeschaffung als auch zur Einschüchterung – und macht eine schnelle, diskrete Untersuchung unerlässlich.