Специалисты по кибербезопасности из Великобритании, США и Нидерландов представили совместный отчет, в котором предупредили о широком использовании иранскими хакерами вредоносного инструмента под названием Chosen Brick. Данное программное обеспечение нацелено на лиц, которых власти Ирана считают «врагами государства», включая диссидентов, политических активистов и журналистов как внутри страны, так и за её пределами.
Методы социальной инженерии и тактика атак
Согласно заявлению Национального центра кибербезопасности Великобритании (NCSC), ФБР и Службы общей разведки и безопасности Нидерландов (AIVD), кампания начинается с тщательного сбора информации о будущей жертве. Злоумышленники изучают деятельность объекта интереса, после чего выходят на связь через социальные сети. Они могут представляться знакомыми жертвы или сотрудниками технической поддержки используемых ими онлайн-платформ.
Цель хакеров — войти в доверие к пользователю в ходе длительного общения, чтобы убедить его загрузить вредоносный файл. Как отмечают эксперты, в некоторых случаях иранские спецслужбы использовали полученные в ходе кибератак данные не только для слежки, но и для планирования операций по похищению или физическому устранению лиц, воспринимаемых как угроза режиму.
Функциональные возможности вредоносного ПО Chosen Brick
Программа Chosen Brick предназначена преимущественно для работы в среде операционной системы Windows. Вредонос обладает широким спектром шпионских функций, позволяющих злоумышленникам полностью контролировать устройство жертвы. Среди основных возможностей ПО:
- перечисление запущенных процессов и сбор системной информации;
- захват содержимого экрана и запись аудио с микрофона;
- извлечение данных из веб-версий мессенджеров WhatsApp и Telegram;
- кража содержимого электронной почты;
- загрузка дополнительных вредоносных модулей и удаление файлов;
- полная очистка данных системы.
Управление вредоносным ПО и передача команд от операторов к зараженному устройству осуществляются через платформу Telegram.
Рекомендации по обеспечению защиты
Для противодействия данной угрозе три ведомства рекомендуют пользователям, входящим в группу риска, соблюдать повышенную осторожность при взаимодействии с незнакомыми лицами в сети. Технические меры защиты включают регулярное обновление программного обеспечения (желательно с использованием функции автообновления) и установку антивирусных решений.
Специалисты также настоятельно советуют не игнорировать предупреждения систем безопасности, таких как SmartScreen, при скачивании файлов. Дополнительными методами защиты являются внедрение многофакторной аутентификации (MFA), устойчивой к фишингу, настройка централизованного управления устройствами, активация сканирования электронной почты, а также развертывание систем мониторинга конечных точек и сети. Компании и частные лица могут проверить наличие признаков компрометации (IoCs) для выявления потенциально зараженных систем.
Детальный анализ операционной тактики
В опубликованном отчете спецслужбы подчеркивают, что масштаб кампании является значительным: по имеющимся данным, от действий иранских операторов уже пострадала около тысячи человек. Тщательная подготовка — ключевой элемент успеха злоумышленников. Исследователи отмечают, что хакеры не просто проводят поверхностный осмотр профилей, а ведут длительные диалоги с жертвами, постепенно снижая их бдительность до тех пор, пока те не станут готовы открыть присланный файл, содержащий вредоносный код.
Технические аспекты защиты и мониторинга
Помимо общих рекомендаций по цифровой гигиене, агентства NCSC, ФБР и AIVD акцентируют внимание на необходимости глубокого эшелонированного контроля. Для минимизации рисков эксперты настаивают на следующем:
- Управление конфигурациями: устройства должны находиться под управлением соответствующих политик безопасности, что исключает возможность внесения несанкционированных изменений пользователем.
- Мониторинг сети и конечных точек: развертывание инструментов для обнаружения аномальной активности позволяет выявить присутствие Chosen Brick на ранних этапах, даже если классические антивирусные сигнатуры не распознали угрозу сразу.
- Поиск индикаторов компрометации (IoCs): организациям рекомендуется регулярно проводить проверку логов и сетевого трафика на предмет соответствия известным признакам работы данного вредоносного ПО, что является критически важным для своевременного обнаружения уже взломанных систем.
Ведомства подчеркивают, что данные меры должны применяться в комплексе. Учитывая, что целью иранских спецслужб является не только кибершпионаж, но и физические операции против оппонентов режима, следование этим рекомендациям становится критически важным элементом обеспечения личной безопасности для журналистов и активистов, находящихся в зоне риска.
