CHOSEN BRICK trasforma le chat fidate in un canale di sorveglianza per gli operatori iraniani

Un avviso congiunto delle agenzie di Stati Uniti, Regno Unito e Paesi Bassi ha portato alla luce CHOSEN BRICK, una famiglia di malware per Windows utilizzata da operatori legati allo Stato iraniano per monitorare dissidenti, attivisti e giornalisti in tutto il mondo.

I dettagli riportati il 16 settembre 2026 descrivono una campagna attiva almeno dal 2025. Invece di sfruttare una vulnerabilità software, gli operatori manipolano le vittime attraverso WhatsApp e Telegram, impersonando contatti fidati o addetti all’assistenza prima di consegnare file dannosi.

Una volta installato, CHOSEN BRICK può sottrarre comunicazioni, acquisire schermate, registrare l’audio dal microfono, distribuire malware aggiuntivo e distruggere dati. Le conseguenze possono estendersi oltre il computer compromesso: informazioni sottratte sono comparse su siti di divulgazione filoiraniani e potrebbero facilitare molestie, pedinamenti o attacchi fisici.

Gli attaccanti passano dai sistemi aziendali ai dispositivi personali

L’operazione inizia con la ricognizione e il contatto diretto. Gli attaccanti avvicinano le potenziali vittime tramite WhatsApp o Telegram, utilizzando identità studiate per rendere credibile un file inatteso.

Possono spacciarsi per conoscenti, contatti fidati o addetti al supporto tecnico. L’obiettivo non è semplicemente ottenere un clic, ma costruire un livello di fiducia sufficiente a convincere il bersaglio ad avviare un’applicazione o ad aprire un presunto documento.

I falsi richiami osservati hanno impersonato:

• Pictory.
• RunwayML.
• Norton Antivirus.
• Telegram.
• Adobe Flash Player.
• KeePass.
• Documenti medici, inclusi presunti risultati di risonanze magnetiche.

Il file dannoso mostra un’interfaccia coerente con l’applicazione o il documento promesso. Nel frattempo, CHOSEN BRICK si installa e inizia a operare in background. Questo diversivo riduce la probabilità che le vittime riconoscano la compromissione e la segnalino immediatamente.

Gli operatori si adattano anche quando intervengono le difese aziendali. Il contatto può iniziare su un dispositivo aziendale, ma se i controlli di sicurezza bloccano l’esecuzione, l’attaccante cerca di spostare lo scambio sul computer Windows personale della vittima.

Questa mossa crea una significativa lacuna difensiva. I sistemi personali possono non disporre di allowlisting delle applicazioni, registrazione centralizzata, endpoint detection e delle funzionalità di monitoraggio disponibili sulle apparecchiature aziendali gestite. Inoltre, un’organizzazione non può considerare concluso un incidente solo perché un allegato è stato bloccato.

La persistenza nel Registro di sistema e le esclusioni di Defender mantengono attivo l’impianto

Secondo il rapporto congiunto delle agenzie sulla campagna, ogni infezione di CHOSEN BRICK osservata ha coinvolto Microsoft Windows. Non sono state divulgate le versioni esatte di Windows interessate.

Dopo l’esecuzione, il malware stabilisce la persistenza attraverso le chiavi Run del Registro di sistema di Windows, consentendo il riavvio automatico quando l’utente accede al sistema o il computer viene riavviato. I difensori dovrebbero quindi esaminare le posizioni Run alla ricerca di valori creati di recente che puntano a eseguibili insoliti, directory scrivibili dall’utente o percorsi di sistema inattesi.

CHOSEN BRICK aggiunge inoltre esclusioni a Microsoft Defender. Queste modifiche possono impedire alla scansione antivirus locale di esaminare determinati file, cartelle, processi o percorsi utilizzati dal malware.

Un’esclusione di Defender non è di per sé dannosa, perché amministratori e applicazioni legittime talvolta le creano. Il contesto è determinante. Una nuova esclusione diventa molto più sospetta quando coincide con un installer scaricato di recente, una conversazione inattesa su un’app di messaggistica o una nuova voce Run nel Registro di sistema.

Il malware collega quindi l’endpoint infetto a un’infrastruttura di comando e controllo basata su Telegram. Secondo quanto riportato, ogni infezione riceve un bot Telegram o un identificativo del bot univoco associato alla vittima. Questa separazione aiuta gli operatori a gestire individualmente i bersagli e riduce il rischio che comandi o dati sottratti passino da un’operazione all’altra.

Non è stata segnalata alcuna capacità automatizzata di movimento laterale. Tuttavia, CHOSEN BRICK può recuperare payload aggiuntivi, consentendo agli operatori di ampliare manualmente l’accesso dopo l’infezione iniziale.

Telegram, cloud storage e proxy SOCKS5 trasportano il traffico

Telegram svolge due ruoli nella campagna: è un canale iniziale di social engineering e fa parte dell’infrastruttura di comando e controllo del malware. Il malware può utilizzarlo anche per trasferire i dati raccolti.

L’infrastruttura aggiuntiva per l’esfiltrazione e le attività operative include:

• Backblaze B2.
• VultrObjects.
• StorjShare.
• IPRoyal.
• LightningProxies.
• L’API di Telegram.

Secondo quanto riportato, le varianti più recenti di CHOSEN BRICK instradano le connessioni attraverso proxy SOCKS5, occultando il rapporto diretto tra un endpoint infetto e le attività controllate dagli attaccanti.

Le connessioni a questi servizi, da sole, non bastano a dimostrare un’infezione. Alcuni forniscono servizi legittimi di cloud storage o di rete. I difensori dovrebbero correlarle con elementi presenti sull’endpoint, come persistenza sospetta, creazione di archivi, accesso ai database del browser, acquisizione di schermate, uso del microfono o letture insolite di file.

Il traffico diretto verso l’infrastruttura di Telegram merita particolare attenzione sui sistemi i cui utenti non hanno normalmente bisogno di utilizzarla. I team di sicurezza dovrebbero inoltre cercare comunicazioni gestite da bot e connessioni in uscita cifrate e ripetute che iniziano poco dopo l’avvio di un eseguibile sconosciuto.

La destinazione del payload secondario indicata nei rapporti è:

C:\Windows \SysWOW64

Il percorso pubblicato contiene uno spazio tra Windows e \SysWOW64. Gli investigatori dovrebbero conservare quella stringa esatta e al tempo stesso stabilire se lo spazio rappresenti un effettivo elemento indicativo del file system o un artefatto di formattazione. Le ricerche dovrebbero tenere conto di entrambe le possibilità, senza normalizzare il percorso automaticamente.

La sorveglianza può sfociare nella distruzione dei dati

CHOSEN BRICK combina la raccolta di informazioni con funzionalità distruttive. Le capacità segnalate includono la raccolta di informazioni sul sistema, l’enumerazione dei processi, l’acquisizione di schermate e la registrazione dell’audio attraverso il microfono del computer.

Può inoltre colpire le comunicazioni archiviate nei browser, tra cui:

• Contenuti delle email.
• Dati di Telegram presenti nel browser.
• Dati di WhatsApp presenti nel browser.
• Altre informazioni sulle comunicazioni archiviate nel browser.

Il malware può scaricare ed eseguire payload secondari, offrendo agli operatori un meccanismo per introdurre funzionalità non presenti nell’impianto originale. Di conseguenza, il rilevamento iniziale non dovrebbe limitarsi agli artefatti di CHOSEN BRICK: chi gestisce la risposta deve cercare anche strumenti e comandi utilizzati successivamente.

Le opzioni distruttive includono l’eliminazione di file, l’esecuzione di comandi per rimuovere i dati e la cancellazione completa dell’host infetto. Non è stato divulgato alcun punteggio CVSS, perché si tratta di una campagna malware e non di una vulnerabilità a cui sia stato assegnato un CVE.

La minaccia è particolarmente grave perché il materiale raccolto può compromettere la sicurezza fisica delle persone. In alcuni casi, i servizi di intelligence iraniani sono stati valutati come impegnati nella pianificazione di rapimenti o operazioni letali contro presunti nemici del regime all’estero. Le informazioni prelevate da un dispositivo potrebbero rivelare luoghi, rapporti personali, comunicazioni, programmi di viaggio o identità di altre persone a rischio.

Informazioni personali sottratte sono state inoltre pubblicate su siti di divulgazione filoiraniani, secondo quanto riportato con l’obiettivo di intimidire e molestare le vittime. Per i bersagli politicamente esposti, la risposta agli incidenti deve quindi prendere in considerazione molto più del ripristino del computer.

Il rilevamento deve correlare prove provenienti da messaggistica, endpoint e rete

I team di sicurezza dovrebbero innanzitutto esaminare le posizioni Run del Registro di sistema di Windows e le esclusioni di Microsoft Defender. Le nuove voci dovrebbero essere correlate con l’attività di messaggistica, i download di file, gli accessi degli utenti e l’esecuzione dei processi.

Il monitoraggio di rete dovrebbe cercare accessi inattesi all’API di Telegram, a Backblaze B2, VultrObjects, StorjShare, IPRoyal e LightningProxies. Gli analisti dovrebbero indagare sull’uso di SOCKS5 da parte di endpoint privi di un requisito aziendale documentato.

Tra le priorità per il rilevamento sugli endpoint rientrano:

• Accessi insoliti al microfono.
• Acquisizione automatizzata di schermate.
• Accesso ai database del browser o agli archivi delle comunicazioni.
• Enumerazione dei processi da parte di un binario sconosciuto.
• Download nelle directory di sistema di Windows.
• Processi figlio sospetti avviati da applicazioni scaricate di recente.
• Comandi che eliminano file o preparano un host alla cancellazione.
• Esclusioni di Defender che coprono directory scrivibili dall’utente o utilizzate per lo staging.

Gli investigatori dovrebbero confrontare, ove possibile, le sequenze temporali delle attività sui dispositivi aziendali e personali. Un invio bloccato su un sistema gestito, seguito dalla richiesta di proseguire la conversazione su un dispositivo personale, è uno schema particolarmente rilevante.

Le organizzazioni dovrebbero inoltre acquisire gli indicatori aggiuntivi pubblicati insieme all’avviso congiunto e applicarli ai dati di telemetria provenienti da endpoint, firewall, proxy, DNS, cloud e sistemi di identità. I nomi dell’infrastruttura riportati pubblicamente sono punti di partenza, non un insieme completo di indicatori per il rilevamento.

La risposta deve proteggere sistemi e persone

Le potenziali vittime non dovrebbero avviare installer o file medici ricevuti attraverso conversazioni WhatsApp o Telegram non richieste, anche quando il mittente sembra una persona conosciuta. La verifica dovrebbe avvenire tramite un canale di comunicazione separato e precedentemente considerato affidabile.

Le organizzazioni che supportano giornalisti, attivisti e dissidenti dovrebbero applicare controlli sull’esecuzione per bloccare installer e utility non approvati. Il personale ad alto rischio deve disporre di una protezione equivalente sui dispositivi personali quando questi vengono utilizzati per conversazioni di lavoro o sensibili.

In caso di infezione sospetta, chi gestisce la risposta dovrebbe:

1. Preservare le prove forensi prima di eliminare file o modificare la persistenza.
2. Isolare l’endpoint interessato con un metodo che non allerti inutilmente l’operatore.
3. Esaminare le voci Run del Registro di sistema e le esclusioni di Defender.
4. Individuare le comunicazioni con Telegram, i servizi di cloud storage e i proxy.
5. Cercare payload secondari e comandi distruttivi.
6. Reimpostare le credenziali esposte utilizzando un dispositivo certamente integro.
7. Ricostruire i sistemi compromessi quando non è possibile garantirne l’integrità.
8. Ripristinare i dati solo da backup testati e protetti.

La pianificazione della risposta dovrebbe includere comunicazioni sicure al di fuori del dispositivo interessato. Quando una vittima corre un rischio politico o fisico, le organizzazioni potrebbero dover coordinarsi anche con le autorità competenti e con specialisti della sicurezza personale.

CHOSEN BRICK non è un semplice stealer di credenziali. La combinazione segnalata di sorveglianza, distribuzione di payload e cancellazione dell’host offre ai suoi operatori sia capacità di raccolta di informazioni sia strumenti coercitivi, rendendo essenziale un’indagine rapida e discreta.