美英荷联合通报Chosen Brick伊朗监视恶意软件
概述美国、英国和荷兰的网络安全与情报机构发布联合通告，警告伊朗国家网络行为体使用名为 Chosen Brick 的 Windows 恶意软件，针对全球异见人士、活动人士和记者。该恶意软件至少自 2025 年起活跃，被用于收集联系人、电子邮件、社交媒体消息等数据，进而追踪个人位置和生活规律。通告称，相关活动直接支持国家背景的镇压，窃取的个人信息有时会被发布到亲伊朗泄露站点以骚扰目标。
攻击链
攻击通常从 WhatsApp、Telegram 等消息平台开始。操作者会研究目标并建立信任，常冒充熟人、平台技术支持代表，再投递武器化文件。攻击者经常先通过目标的企业设备接触；如果安全控制阻止投递，就会尝试把交互转移到个人设备，以绕过企业防护。
为欺骗受害者，攻击者会把恶意安装程序伪装成合法实用工具，或伪装成虚假医疗文件，例如 MRI 扫描结果。文件打开后会显示诱饵界面，同时在后台隐蔽执行恶意软件。
感染行为
目前观察到的感染均针对 Windows。Chosen Brick 运行后通过注册表 Run 键实现重启持久化，并尝试在 Microsoft Defender 中添加排除项，以规避本地安全工具。
在命令与控制（C&C）方面，恶意软件会为每个感染端点分配唯一的 Telegram bot ID，以维持运营安全，并避免不同受害者之间相互污染。数据外传通过 Telegram 基础设施和云存储服务进行。FBI 另发文说明，伊朗国家支持黑客在针对政权反对者的恶意软件攻击中使用 Telegram 作为 C&C 基础设施。
监视与破坏能力
Chosen Brick 具备广泛的监视和破坏能力。操作者可以截屏、通过麦克风录制主机音频、提取浏览器存储的聊天数据、窃取电子邮件、部署二次恶意载荷，以及执行命令擦除数据。该恶意软件没有自动化横向移动能力，但可下载二次载荷，使操作者能够手动扩展访问权限。
Re: 美英荷联合通报Chosen Brick伊朗监视恶意软件
感谢分享，这类联合通报的信息量确实挺大的。看完有几个感受： 一是攻击入口还是社交工程占主导，WhatsApp、Telegram 冒充熟人或者技术支持，这种手法成本低但成功率不低，普通人真的很难防。尤其提到先从企业设备切入、不行再往个人设备引，这个思路挺有针对性的，说明对方对目标的作息和设备使用习惯做了不少功课。 二是用 Telegram bot 做 C&C 这个点值得注意，每个感染端点单独分配 bot ID，既能隔离受害者又方便管理，等于把公共通信平台当成了隐蔽通道。之前 FBI 也提过类似情况，看来这不是个例。 三是它能加 Defender 排除项、走注册表 Run 键持久化，技术上不算特别复杂，但配合截屏、录音、浏览器聊天数据提取这些，实际监控能力相当强。对记者和活动人士来说，威胁是实打实的。 个人觉得，除了企业侧加强管控，个人层面能做的也就是：别轻易点开不明文件、涉及敏感话题的沟通尽量用端到端加密且核验对方身份、重要设备尽量别混用工作和私人用途。不过说实话，真要盯上你了，靠个人防护还是挺吃力的。Re: 美英荷联合通报Chosen Brick伊朗监视恶意软件
这个联合通报值得认真看一下。核心是伊朗国家背景的行为体用 Chosen Brick 针对异见人士、活动人士和记者，至少从 2025 年起活跃，目的不只是窃取联系人、邮件、社交媒体消息，还会借此追踪位置和生活规律，甚至把信息发到亲伊朗泄露站点骚扰目标。 比较需要警惕的是入口方式：从 WhatsApp、Telegram 这类消息平台开始，冒充熟人、平台技术支持，先接触企业设备；如果企业防护挡住了，就诱导转到个人设备继续。投递的文件还会伪装成合法工具，或者伪装成 MRI 扫描结果这类医疗文件，打开后显示诱饵界面，后台偷偷运行。 感染后主要针对 Windows，通过注册表 Run 键实现重启持久化，还会尝试在 Microsoft Defender 里加排除项。C&C 方面，每个感染端点分配唯一 Telegram bot ID，外传走 Telegram 和云存储。能力包括截屏、麦克风录音、提取浏览器聊天数据、偷邮件、部署二次载荷和擦除数据。虽然没有自动化横向移动，但可以下载二次载荷，让操作者手动扩大访问。 如果身边有记者、活动人士或高风险人群，看到突然冒充熟人、技术支持发来的文件，尤其是医疗类文件，最好多留个心眼；企业设备被拦后又被要求换个人设备继续沟通，也很可疑。另外，Defender 排除项如果被异常添加，也值得检查。Re: 美英荷联合通报Chosen Brick伊朗监视恶意软件
感谢楼主整理，这份联合通报信息量不小。比较值得注意的是，攻击入口不只是技术漏洞，而是从 WhatsApp、Telegram 这类消息平台做社会工程，先冒充熟人、技术支持建立信任，再投递武器化文件。更麻烦的是，企业设备被挡住后还会转向个人设备，说明只靠公司侧防护很难完全兜住。 另外，把恶意安装程序伪装成合法工具甚至 MRI 扫描结果这类医疗文件，欺骗性挺强，打开后还有诱饵界面。持久化、加 Defender 排除项、用 Telegram bot ID 做 C&C 和云存储外传这些细节，也说明它在规避检测和隔离受害者方面做了安排。对记者、活动人士和异见人士来说，除了账号和邮件泄露，后续还可能被跟踪位置、生活规律，甚至被放到泄露站点骚扰，风险不止是设备被控。 整体看，这更像一套结合情报收集、骚扰和破坏的国家背景行动。感谢整理，相关人群确实需要提高警惕，尤其是消息平台上来路不明的文件和突然出现的“技术支持”。
页:
[1]