Az Egyesült Államok, az Egyesült Királyság és Hollandia kiberbiztonsági ügynökségei részletesen bemutattak egy Windows kártevőt, amelyet szerintük az iráni hírszerzés használ ellenzékiek, újságírók és aktivisták megfigyelésére világszerte.

A kártevőt a Telegram üzenetküldő alkalmazáson keresztül irányítják. Képes lemásolni az áldozat e-mailjeit és csevegéseit, képernyőképeket készít, és bekapcsolja a mikrofont hangfelvétel készítéséhez.

Az FBI HEAVYGRAM néven említi, míg a brit National Cyber Security Center (NCSC) CHOSEN BRICK néven hivatkozik rá.

A közös figyelmeztetést szeptember 15-én tette közzé az NCSC, az FBI és a holland hírszerzés, az AIVD. Az FBI emellett kiadott egy frissített elemzést a kártevőről, amely a kampányt először bemutató 2026. márciusi riasztás részleteit bővíti további technikai információkkal és új kompromittálási indikátorokkal.

Az FBI az iráni Hírszerzési és Biztonsági Minisztériumhoz (MOIS), az ország fő hírszerző szervéhez köti a kártevőt, és a szélesebb kampány kezdetét 2023 őszére teszi. A figyelmeztetés szerint a CHOSEN BRICK-et legalább 2025 óta vetik be az Egyesült Királyságban, az Egyesült Államokban, Hollandiában és világszerte.

A célpontok főként iráni ellenzékiek, Iránnal szemben kritikus újságírók, aktivisták és olyan csoportok tagjai, akiknek nézetei ütköznek a kormány álláspontjával. Az FBI ugyanakkor arra figyelmeztet, hogy bárki célponttá válhat, akit Irán érdekesnek vagy veszélyesnek tart.

A hatóságok szerint a veszély nem merül ki az ellopott adatokban. A képernyőképek és más begyűjtött információk alapján kirajzolódhatnak az áldozat kapcsolatai, tartózkodási helye és napi rutinja. Néhány áldozat személyes adatai iráni-barát szivárogtató oldalakon is megjelentek, ami a figyelmeztetés szerint tovább növeli a fizikai biztonságukat fenyegető kockázatot.

Márciusban az amerikai igazságügyi minisztérium négy ilyen iráni szivárogtató oldalt foglalt le, amelyekre a hatóságok szerint ellopott adatokat töltöttek fel, és ahol ellenzékiek, újságírók és mások meggyilkolására buzdítottak.

A hatóságok szerint Irán szinte biztosan az ilyen típusú kibertámadásokkal is igyekszik elhallgattatni mindazokat, akiket fenyegetésnek tekint. Egyes esetekben az iráni hírszerzés külföldön is emberrablást vagy gyilkosságot tervezett ilyen személyek ellen.

Hogyan zajlik a támadás

A támadás egy üzenettel indul. A támadók olyan személynek adják ki magukat, akit az áldozat ismer, vagy egy üzenetküldő alkalmazás technikai támogatásának, így építenek bizalmat, mielőtt elküldenének egy fájlt, amely első ránézésre egy valódi programnak tűnik – írják az ügynökségek.

Gyakran az áldozat munkahelyi gépén próbálkoznak először. Ha ez nem sikerül, megpróbálnak átállni egy személyes eszközre, amelyet már nem véd a vállalati biztonság.

A jelentések szerint a kártevő többek között a Pictory AI videós alkalmazásnak, a KeePass jelszókezelőnek, magának a Telegramnak, a RunwayML-nek, a Norton Antivirusnak és az Adobe Flash Playernek álcázta magát. Előfordult, hogy a fájl MRI-vizsgálati eredménynek látszott.

Amikor az áldozat megnyitja a fájlt, egy meggyőző hamis felület jelenik meg, miközben a háttérben települ a valódi kártevő. Az első komponens az alkalmazásnak álcázza magát, a második pedig egy Telegram bothoz kapcsolja a gépet, amelyen keresztül a támadók irányítják a fertőzött rendszert és begyűjtik az ellopott adatokat. Az eddig ismert összes változat csak Windows alatt fut.

Hogy túlélje az újraindítást, a kártevő beírja magát a Windows registry egyik „Run” kulcsába, így minden bejelentkezéskor automatikusan elindul. Emellett utasítja a beépített Microsoft Defender antivírust, hogy hagyjon ki bizonyos mappákat az ellenőrzésből, így a saját fájljait nem vizsgálják át.

Minden fertőzött gép saját Telegram botot kap, ami az ügynökségek szerint megakadályozza, hogy az egyes áldozatok tevékenysége összekeveredjen.

Ha már fut, a kártevő sokféle parancsot végre tud hajtani: listázza a futó programokat, képernyőképeket készít, bekapcsolja a mikrofont, kimásolja a böngészőből a Telegram és a WhatsApp adatait, ellopja a mentett jelszavakat és e-mail címeket, további kártevőket tölt le, és fájlokat töröl. A közös figyelmeztetés szerint legalább egy változat a teljes gépet is le tudja törölni.

Az ügynökségek szerint eddig nem látták, hogy a kártevő önállóan terjedne a hálózaton, bár további eszközöket le tud tölteni. Az ellopott fájlokat a Telegram boton keresztül, illetve felhőalapú tárhelyszolgáltatások, például a Vultr és a Storj segítségével viszik ki a gépről. Az újabb verziók a Telegram-forgalmat proxy szervereken keresztül továbbítják, hogy elrejtsék – áll a figyelmeztetésben.

Mire érdemes figyelni

A figyelmeztetések több olyan jelet is felsorolnak, amelyeket a védelmi szakemberek és a veszélyeztetett felhasználók ellenőrizhetnek, például:

• Registry kulcs: „Run” kulcsbejegyzés SMQDService vagy winappx néven, amelyet azért adnak hozzá, hogy a kártevő bejelentkezéskor elinduljon.
• Fájlútvonal: egy plusz szóközzel létrehozott mappa, C:\Windows \SysWOW64, ahová a kártevő további fájlokat helyez el.
• Hálózat: váratlan kapcsolatok egyébként legitim szolgáltatásokhoz, például api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com és lightningproxies.net.
• Mutex: névjelölők, amelyeket a kártevő azért állít be, hogy ne fusson kétszer, például ytyjyujyu és noi672pp434awkc12f.

Az FBI elemzése és a közös figyelmeztetés tartalmazza a teljes listát, a fájl hash értékekkel együtt. Az ügynökségek arra figyelmeztetnek, hogy a kártevő fájlnevei és mappái változhatnak, ezért ezeket a jeleket nem szabad kizárólagos támpontnak tekinteni.

Hogyan védekezhetünk

A kockázat csökkentésére az ügynökségek azt javasolják, hogy az érintettek:

• Ne nyissanak meg üzenetben vagy linken keresztül küldött fájlokat, és szoftvert csak hivatalos weboldalakról vagy alkalmazásboltokból töltsenek le.
• Tartsák naprakészen az operációs rendszert és minden alkalmazást, lehetőleg automatikus frissítéssel.
• Használjanak vírusirtót, és tartsák folyamatosan bekapcsolva és naprakészen.
• Ne hagyják figyelmen kívül a SmartScreen figyelmeztetéseit fájlok letöltésekor.

A hálózati rendszergazdáknak azt tanácsolják, hogy:

• Kapcsolják be az adathalászatnak ellenálló, többtényezős hitelesítést.
• Alkalmazzanak application allowlistinget és felügyelt eszközökre vonatkozó szabályokat.
• Használják ki az e-mail szolgáltatójuk által kínált ellenőrző és biztonsági eszközöket.
• Figyeljék a számítógépeket és a hálózati forgalmat, és keressenek rá a naplókban a fentebb felsorolt jelekre.

Akinek fertőzésre van gyanúja, ellenőrizze a fent leírt „Run” registry kulcsot, értesítse az IT támogatást, és jelentse az esetet a nemzeti kiberügynökségnek. A figyelmeztetések nem térnek ki arra, hogy önmagában a kártevő eltávolítása elég-e a kompromittálódott rendszer megtisztításához.

Amikor az FBI márciusban először figyelmeztetett a kampányra, a Telegram a TechCrunch-nak azt mondta, hogy moderátorai „rendszeresen eltávolítanak minden olyan fiókot, amelyről kiderül, hogy kártevőkhöz köthető”. Az ügynökségek megállapításaikat értékelésként közlik, nem pedig bíróság által jogerősen megállapított tényként.