Großbritannien, die USA und die Niederlande geben eine gemeinsame Cybersicherheitsempfehlung zu Spyware heraus mit dem Namen Chosen Break. Es wird von Akteuren genutzt, die mit dem iranischen Staat in Verbindung stehen.

Die Angriffskampagne richtet sich insbesondere gegen Dissidenten, Aktivisten und Journalisten, die als Bedrohung für das Regime angesehen werden.

Wie schaffen es Angreifer, ihre Ziele zu täuschen?

Die Angriffsmethode basiert hauptsächlich auf hochgradig personalisierten Social-Engineering-Techniken.

Angreifer kontaktieren ihre Ziele über Messaging-Dienste wie WhatsApp oder Telegram und geben sich dabei als vertrauenswürdige Kontakte oder technischen Support aus. Sie stellen eine Beziehung her, bevor sie das Opfer davon überzeugen, eine schädliche Datei herunterzuladen.

Diese Dateien werden als legitime Anwendungen getarnt beliebte wie Norton Antivirus, der Passwort-Manager KeePass oder Tools zur Videoerstellung wie Pictory.

In einigen besonders aufwändigen Fällen nutzten die Angreifer sogar gefälschte MRT-Ergebnisse, um Opfer zum Herunterladen der Malware zu verleiten, die diskret auf Windows-Geräten installiert wird.

Welche Fähigkeiten bietet diese Spyware?

Sobald Chosen Brick auf einem Gerät installiert ist, bietet es zahlreiche Überwachungsfunktionen.

Es kann Informationen über Kontakte, E-Mails und Social-Media-Nachrichten sammeln. Laut der britischen Cybersicherheitsbehörde kann Malware auch Bildschirminhalte erfassen und greifen Sie auf das Mikrofon zu des Geräts.

Die Steuerung erfolgt aus der Ferne über Telegram-Botswobei jedes Opfer einem einzigartigen Bot zugeordnet ist.

Die Malware ist hartnäckig und übersteht Systemneustarts mithilfe eines Registrierungsschlüssels. Gleichzeitig versucht sie, der Erkennung zu entgehen, indem sie Ausschlüsse zu Microsoft Defender Antivirus hinzufügt.

Risiken für die körperliche Unversehrtheit der Opfer

Nach Angaben des FBI nutzte das iranische Ministerium für Geheimdienste und Sicherheit die Malware, um Informationen zu sammeln, Datenlecks durchzuführen und den Ruf von Zielen zu schädigen.

Sicherheitsbehörden warnen, dass persönliche Daten einiger Opfer bereits auf pro-iranischen Leak-Seiten veröffentlicht wurden. Exposition, die möglicherweise das Risiko für die persönliche Sicherheit der Betroffenen erhöht.