CHOSEN BRICK: تحذير بريطاني وأمريكي وهولندي من برمجية إيرانية تستهدف المعارضين والصحفيين

نشر المركز الوطني للأمن السيبراني في المملكة المتحدة ومكتب التحقيقات الفيدرالي الأمريكي وجهاز الاستخبارات والأمن العام الهولندي (AIVD) إرشادًا مشتركًا حول CHOSEN BRICK، وهي عائلة برمجيات خبيثة تستخدمها جهات إيرانية رسمية. وتفيد الجهات بأنها استهدفت أفرادًا في عدة دول منذ عام 2025 على الأقل، وفي مقدمتهم المعارضون والناشطون والصحفيون. وقد ظهرت بيانات شخصية لبعض الضحايا السابقين على مواقع تسريب موالية لإيران.

كيف يجري الهجوم

يدرس المهاجمون هدفهم أولًا، ثم يتواصلون معه عبر منصات المراسلة مثل WhatsApp وTelegram منتحلين صفة شخص يعرفه أو دعمًا فنيًا للمنصة، ويقنعونه بفتح ملف يبدو أصيلًا، كتطبيق معروف أو نتائج أشعة رنين مغناطيسي. وتُعرض شاشة مقنعة بينما تُثبَّت البرمجية في الخلفية. وغالبًا يبدأ التواصل على جهاز العمل، فإذا فشل طلب المهاجم من الضحية فتح الملف على جهازه الشخصي لتجاوز ضوابط المؤسسة.

بعد التثبيت على Windows تبقى البرمجية بعد إعادة التشغيل عبر مفتاح Run في السجل، وتضيف استثناءات في Microsoft Defender، وتستخدم بوت Telegram منفصلًا لكل ضحية. وتستطيع التقاط الشاشة والميكروفون، ونسخ بيانات Telegram وWhatsApp من المتصفحات، وسرقة البريد، وتنزيل برمجيات إضافية. وتخرج البيانات عبر Telegram وخدمات تخزين سحابية. ولم يُرصد انتقال جانبي آلي.

الكشف والتخفيف

يوصي الإرشاد المؤسسات التي تشتبه في التنفيذ بأن تبحث فرق تقنية المعلومات في السجلات عن مؤشرات الاختراق المنشورة وتشغّل توقيعات الكشف. وتستحق المراجعة أي اتصالات غير متوقعة في DNS أو الوكيل نحو api.telegram.org وbackblazeb2.com وvultrobjects.com وstorjshare.io وiproyal.com وlightningproxies.net. كما ينبغي إبلاغ الموظفين المعرّضين للاستهداف ومساعدتهم على فحص أجهزتهم الشخصية. والضوابط الموصى بها: مصادقة متعددة العوامل مقاومة للتصيد، وقوائم السماح بالتطبيقات، ومكافحة الفيروسات، وفحص البريد، ومراقبة النقاط الطرفية والشبكة، والتوعية.