Trotz der individuellen Zuschnitte erkennen die Behörden ein Grundmuster in der Angriffskette: Der erste Kontakt erfolgt über Messenger wie WhatsApp oder Telegram, wobei sich die Operateure häufig als bekannte Kontaktperson oder als technischer Support ausgeben. Erst nachdem ein Vertrauensverhältnis aufgebaut ist, folgt eine schädliche Datei, die zum jeweiligen Vorwand passt.
Neben der gefälschten MRT-Aufnahme haben die Angreifer legitime Produkte imitiert, darunter Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player und KeePass.
CHOSEN BRICK läuft ausschließlich unter Windows und überlebt Neustarts, indem es sich beim Anmelden erneut startet. Zusätzlich trägt die Schadsoftware Ausnahmen in Microsoft Defender ein, um einer Entdeckung zu entgehen. Zur Steuerung nutzt sie Telegram: Jedem Opfer wird ein eigener Telegram-Bot zugewiesen, sodass ein kompromittiertes Gerät nicht die anderen auffliegen lässt. Gestohlene Dateien wandern ebenfalls über Telegram sowie über kommerzielle Cloud-Speicherdienste ab. Die jüngsten Versionen verschleiern ihren Datenverkehr laut Warnung über Proxys.
Funktional greift die Spyware ein breites Spektrum ab: Kontakte, E-Mail-Postfächer und Nachrichten aus sozialen Medien. Sie kann zudem Bildschirminhalte erfassen und das Mikrofon des Geräts einschalten. Die Behörden warnen, dass sich daraus ein Bewegungs- und Lebensmuster der Betroffenen erstellen lässt — eine Karte aus Aufenthaltsorten, Kontakten und Tagesabläufen, die das physische Risiko für die Opfer erhöht. Auf diesem Weg erbeutete persönliche Daten seien bereits auf pro-iranischen Leak-Seiten aufgetaucht, um die Betroffenen weiter zu drangsalieren.
Das NCSC weist außerdem darauf hin, dass die Angreifer versuchen könnten, ihre Ziele auf private Geräte zu locken, um Sicherheitsvorkehrungen am Arbeitsplatz zu umgehen. Organisationen mit gefährdeten Mitarbeitern sollten die Warnung weitergeben und ihren Beschäftigten helfen, eigene Telefone und Rechner zu überprüfen.
Eine konkrete iranische Regierungsstelle benennt das NCSC nicht. Das Vorgehen deckt sich jedoch weitgehend mit Aktivitäten, die das FBI in einer im März verbreiteten Eilwarnung Akteuren zuschrieb, die „im Auftrag des Ministeriums für Nachrichtenwesen und Sicherheit der Regierung Irans" (MOIS) handelten. Laut FBI zielt vergleichbare Telegram-gestützte Schadsoftware seit Herbst 2023 auf iranische Dissidenten und Journalisten. Eine Hack-and-Leak-Operation vom Juli 2025 verband die Behörde mit der Online-Persona „Handala Hack", die nach ihrer Einschätzung vom MOIS betrieben wird und mit der Gruppe „Homeland Justice" in Verbindung steht.
Ebenfalls im März setzte das US-Außenministerium eine Belohnung von zehn Millionen Dollar für Hinweise auf Hacker im Umfeld iranischer Cyberakteure erneut aus — nach der Kompromittierung eines privaten E-Mail-Kontos von FBI-Direktor Kash Patel. Im selben Monat beschlagnahmte das FBI mehrere Leak-Seiten mit MOIS-Bezug, auf denen bei verschiedenen Opfern gestohlene Informationen veröffentlicht wurden.
Die Gefahr beschränkt sich nicht auf die digitale Ebene: MI5-Generaldirektor Ken McCallum erklärte im Oktober 2025, die britischen Sicherheitsdienste hätten im Jahr zuvor mehr als 20 potenziell tödliche, von Iran unterstützte Anschlagspläne verfolgt, darunter Drohungen gegen Journalisten und Gegner der iranischen Regierung.