Wprowadzenie do problemu / definicja
Chosen Brick to rodzina złośliwego oprogramowania dla systemów Windows, łączona z działaniami irańskich aktorów państwowych. Narzędzie zostało opisane przez służby cyberbezpieczeństwa ze Stanów Zjednoczonych, Wielkiej Brytanii i Holandii jako element kampanii nadzoru ukierunkowanej na dysydentów, aktywistów i dziennikarzy, czyli osoby postrzegane jako zagrożenie dla interesów reżimu.
To nie jest typowa kampania nastawiona na masową dystrybucję malware. Chosen Brick wpisuje się raczej w model precyzyjnych operacji szpiegowskich, w których kluczową rolę odgrywają socjotechnika, długotrwała obserwacja ofiary oraz cicha eksfiltracja danych przez zaufane usługi komunikacyjne i chmurowe.
W skrócie
Według ujawnionych informacji Chosen Brick był wykorzystywany co najmniej od 2025 roku przeciwko celom na całym świecie. Atak zwykle zaczyna się od kontaktu przez komunikatory, takie jak WhatsApp lub Telegram, gdzie napastnicy podszywają się pod znajomych ofiary albo pracowników wsparcia technicznego.
- wektor wejścia opiera się na socjotechnice i spreparowanych plikach,
- malware utrzymuje trwałość po restarcie systemu,
- próbuje osłabić lokalne mechanizmy ochrony,
- kradnie wiadomości, kontakty, e-maile i dane z przeglądarek,
- potrafi wykonywać zrzuty ekranu, nagrywać dźwięk i pobierać kolejne ładunki,
- do komunikacji C2 oraz eksfiltracji wykorzystuje m.in. Telegram i legalne usługi chmurowe.
Kontekst / historia
Upublicznienie kampanii Chosen Brick wpisuje się w rosnącą liczbę wspólnych ostrzeżeń publikowanych przez zachodnie agencje rządowe w odpowiedzi na działania sponsorowane przez państwa. W tym przypadku szczególny nacisk położono nie na ataki na infrastrukturę krytyczną czy przedsiębiorstwa, lecz na operacje represyjne wymierzone w konkretne osoby.
Z opisu kampanii wynika, że operatorzy starannie rozpoznają cele, przygotowują wiarygodny pretekst kontaktu i próbują dostarczać złośliwe pliki kanałami uznawanymi przez ofiary za zaufane. Charakterystyczne jest także przenoszenie rozmowy z urządzeń służbowych na prywatne, gdy zabezpieczenia środowiska firmowego utrudniają skuteczne przeprowadzenie infekcji.
Taki schemat działania pokazuje, że napastnicy dobrze rozumieją różnice między ochroną środowisk korporacyjnych a bezpieczeństwem użytkowników indywidualnych. W praktyce oznacza to atak na najsłabsze ogniwo, czyli prywatne urządzenie i codzienne nawyki komunikacyjne ofiary.
Analiza techniczna
Łańcuch infekcji opiera się na kamuflażu. Złośliwe pliki są przedstawiane jako legalne narzędzia użytkowe lub nieszkodliwe dokumenty, na przykład materiały medyczne czy wyniki badań. Po uruchomieniu użytkownik może zobaczyć ekran-wabik, podczas gdy właściwy komponent malware działa w tle.
Po zainfekowaniu systemu Chosen Brick ustanawia mechanizmy trwałości z wykorzystaniem kluczy rejestru typu Run. Dzięki temu malware uruchamia się ponownie po restarcie komputera i może kontynuować nadzór nad ofiarą bez konieczności ponownego dostarczenia ładunku.
Oprogramowanie podejmuje także próby osłabienia ochrony endpointu, między innymi przez dodawanie wyjątków do Microsoft Defender. Choć nie jest to najbardziej zaawansowana technika unikania detekcji, może okazać się skuteczna w środowiskach, gdzie użytkownik dysponuje podwyższonymi uprawnieniami albo polityki bezpieczeństwa nie blokują takich zmian.
Jednym z najciekawszych elementów kampanii jest użycie Telegrama jako kanału komunikacji C2. Każdy zainfekowany host otrzymuje unikalny identyfikator bota, co poprawia separację operacyjną między ofiarami i utrudnia obrońcom szybkie odróżnienie legalnego ruchu do popularnej usługi od aktywności powiązanej z malware.
Dodatkowo eksfiltracja danych przez legalne platformy chmurowe obniża skuteczność prostych mechanizmów bezpieczeństwa opartych wyłącznie na reputacji domen. W efekcie wykrycie kampanii wymaga analizy behawioralnej procesów, zmian w systemie oraz nietypowych wzorców dostępu do danych.
Zakres funkcji Chosen Brick wskazuje na narzędzie stworzone do długotrwałego monitorowania. Malware potrafi:
- wykonywać zrzuty ekranu,
- nagrywać dźwięk z mikrofonu,
- pozyskiwać dane z przeglądarek i komunikatorów,
- kraść wiadomości e-mail i kontakty,
- pobierać dodatkowe komponenty,
- realizować komendy prowadzące nawet do usuwania danych.
Choć nie opisano zautomatyzowanych mechanizmów ruchu lateralnego, możliwość pobierania kolejnych ładunków daje operatorom przestrzeń do ręcznego rozszerzania dostępu, jeśli uznają to za operacyjnie potrzebne.
Konsekwencje / ryzyko
Najpoważniejsze skutki dotyczą prywatności, bezpieczeństwa osobistego i długotrwałej inwigilacji. Kradzież wiadomości, kontaktów oraz metadanych pozwala napastnikom mapować sieć relacji ofiary, analizować jej aktywność i śledzić wzorce życia codziennego.
W przypadku dziennikarzy, aktywistów i dysydentów stawką jest często nie tylko utrata poufności, ale również dekonspiracja źródeł, współpracowników i kanałów komunikacji. To może prowadzić do dalszych represji, nękania, szantażu albo działań typu hack-and-leak.
Z perspektywy organizacji zagrożenie jest istotne wszędzie tam, gdzie zatrudniane są osoby należące do grup podwyższonego ryzyka. Nawet dobrze zabezpieczona infrastruktura firmowa może zostać pośrednio narażona, jeśli napastnik skutecznie przejmie prywatne urządzenie pracownika i wykorzysta zdobyte informacje do dalszych działań wywiadowczych lub phishingowych.
Rekomendacje
Organizacje powinny przyjąć, że kampanie sponsorowane przez państwa coraz częściej omijają klasyczne granice bezpieczeństwa i atakują użytkownika poza środowiskiem korporacyjnym. Dlatego ochrona musi łączyć zabezpieczenia techniczne z edukacją operacyjną.
Po stronie technicznej warto wdrożyć:
- ścisłe ograniczenie lokalnych uprawnień administracyjnych na stacjach Windows,
- ochronę przed modyfikacją ustawień antywirusa i Microsoft Defender,
- monitorowanie zmian w kluczach autostartu rejestru,
- detekcję nietypowego użycia komunikatorów oraz procesów potomnych uruchamianych z archiwów i instalatorów,
- korelację zdarzeń związanych z pobieraniem plików dostarczanych przez komunikatory,
- segmentację dostępu między urządzeniami prywatnymi a zasobami służbowymi,
- stosowanie EDR z regułami wykrywającymi persistence, defense evasion i data staging.
Dla użytkowników szczególnie narażonych kluczowe pozostają procedury operacyjne:
- weryfikacja tożsamości nadawcy poza bieżącym kanałem rozmowy,
- traktowanie nieoczekiwanych plików jako potencjalnie złośliwych, nawet jeśli pochodzą od znanej osoby,
- unikanie otwierania załączników na prywatnych urządzeniach bez kontroli bezpieczeństwa,
- regularne aktualizowanie systemu Windows i narzędzi ochronnych,
- oddzielenie komunikacji prywatnej od służbowej,
- szybkie zgłaszanie prób podszywania się pod pomoc techniczną lub znajomych.
Dla zespołów SOC i CTI ważne jest także uwzględnienie podobnych kampanii w modelach zagrożeń związanych z działalnością państwową. Użycie Telegrama jako kanału C2 pokazuje, że skuteczna obrona nie może polegać wyłącznie na blokowaniu podejrzanych domen, ale musi obejmować analizę zachowania procesów i przepływu danych na endpointach.
Podsumowanie
Chosen Brick to przykład malware stworzonego nie do masowej cyberprzestępczości, lecz do precyzyjnych operacji nadzoru i represji. O skuteczności tej kampanii decydują nie tylko możliwości techniczne samego narzędzia, ale również dobrze przygotowana socjotechnika, wykorzystanie zaufanych kanałów komunikacji oraz atakowanie granicy między życiem prywatnym a zawodowym.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona użytkowników wysokiego ryzyka wymaga połączenia telemetryki endpointów, świadomości zagrożeń i procedur operacyjnych dostosowanych do realiów nowoczesnych kampanii szpiegowskich.
Źródła
- SecurityWeek — US, UK, Dutch Agencies Expose Iranian ‘Chosen Brick’ Surveillance Malware — https://www.securityweek.com/us-uk-dutch-agencies-expose-iranian-chosen-brick-surveillance-malware/
- National Cyber Security Centre — UK and allies expose spyware used by Iranian state actors to target dissidents, activists and journalists — https://www.ncsc.gov.uk/news/uk-allies-expose-spyware-iranian-state-actors-target-dissidents-activists-journalists
- National Cyber Security Centre — Iranian cyber targeting of dissidents, activists and journalists — https://www.ncsc.gov.uk/news/iranian-cyber-targeting-of-dissidents-activists-and-journalists
- FBI — 2026 Cyber Alerts: Iranian Cyber Targeting of Dissidents, Activists, and Journalists — https://www.fbi.gov/investigate/cyber/alerts/2026
- FBI FLASH — Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets — https://www.fbi.gov/file-repository/government-of-iran-cyberactors-deploy-telegram-c2-to-push-malware-to-identified-targets.pdf