ირანელი ჯაშუშები Windows-ის მოწყობილობებს Chosen Brick-ით უტევენ

ყველა გამოვლენილ შემთხვევაში Chosen Brick-მა მხოლოდ Windows-ის სისტემები დააინფიცირა. ირანი მას სულ მცირე 2025 წლიდან ადამიანების მოწყობილობებზე კონტროლის მოსაპოვებლად იყენებს. მავნე პროგრამა კონტაქტებს, ელექტრონულ წერილებსა და სოციალურ ქსელებში მიმოწერას იპარავს, რაც ჯაშუშებს ადამიანების გადაადგილების თვალთვალის საშუალებას აძლევს. გამოძიების ფედერალურმა ბიურომ (FBI), გაერთიანებული სამეფოს კიბერუსაფრთხოების ეროვნულმა ცენტრმა (NCSC) და ნიდერლანდების დაზვერვისა და უსაფრთხოების გენერალურმა სამსახურმა (AIVD) ამის შესახებ სამშაბათს განაცხადეს.

უსაფრთხოების რეკომენდაციაში ნათქვამია: „ირანი თითქმის დანამდვილებით იყენებს კიბერაქტივობას იმ ადამიანების რეპრესიების მხარდასაჭერად, რომლებსაც რეჟიმისთვის საფრთხედ მიიჩნევს, მათ შორის დისიდენტების, აქტივისტებისა და ჟურნალისტების“. დოკუმენტში ასევე წერია: „ზოგიერთ შემთხვევაში ირანის სადაზვერვო სამსახურები საერთაშორისო მასშტაბით იმ ადამიანების გატაცებას ან მათ წინააღმდეგ სასიკვდილო ოპერაციების ჩატარებას გეგმავდნენ, რომლებსაც რეჟიმის მტრებად აღიქვამენ“.

ეს თავდასხმები, ჩვეულებრივ, WhatsApp-სა და Telegram-ში გაგზავნილი შეტყობინებებით იწყება. შეტყობინებები თითქოს იმ პირებისა და ორგანიზაციებისგან მოდის, რომლებსაც მსხვერპლი იცნობს და ენდობა.

ირანელი ჯაშუშები სოციალური ინჟინერიის კამპანიებისთვის მოსამზადებლად მასშტაბურ კვლევას ატარებენ. სააგენტოების ცნობით, სოციალური ქსელის პროგრამით პირველი შეტყობინების გაგზავნის მომენტისთვის მათ სამიზნე პირის, მისი კონტაქტებისა და შესაბამისი დარგობრივი ორგანიზაციების შესახებ „ვრცელი“ ცოდნა აქვთ. ამის გამო ყალბი შეტყობინებები უფრო დამაჯერებელია.

სამიზნესთან ნდობის დამყარების შემდეგ თავდამსხმელები მას არწმუნებენ, ჩამოტვირთოს და გახსნას ფაილი, რომელიც ნამდვილ პროგრამას ჰგავს. სამთავრობო უწყებების ცნობით, მავნე ფაილები Pictory-ს, RunwayML-ის, Norton Antivirus-ის, Telegram-ის, Adobe Flash Player-ისა და KeePass-ის ნამდვილ პროგრამებს დაამსგავსეს.

ფაილის გახსნისას მავნე პროგრამა მსხვერპლის შეუმჩნევლად ეშვება და სამიზნე მოწყობილობის გადატვირთვის შემდეგაც მოქმედებს. აღმოჩენის თავიდან ასაცილებლად Chosen Brick-ი Microsoft Defender-ის ანტივირუსში გამონაკლისებს ამატებს. შემდეგ ის მართვისა და კონტროლის, C2-ის, კავშირისთვის Telegram-ს უკავშირდება და მსხვერპლისთვის სპეციალურად შექმნილ Telegram-ბოტს იყენებს.

რეკომენდაციაში აღნიშნულია, რომ ქსელში გვერდითი გადაადგილების ავტომატიზებული უნარი მავნე პროგრამას ჯერ არ გამოუვლენია, თუმცა ეს „ტექნიკურად შესაძლებელია“.

თუმცა ის დამატებით მავნე პროგრამებს ჩამოტვირთავს და ინფიცირებულ მოწყობილობებზე ახალი მავნე კომპონენტების მუდმივ მოქმედებას უზრუნველყოფს. ამისთვის იმავე რეესტრის გასაღებს იყენებს, რომლითაც Chosen Brick-ი Windows-ის მოწყობილობაზე საკუთარ მუდმივ მოქმედებას უზრუნველყოფს: HKCU\Software\Microsoft\Windows\CurrentVersion\Run.