Der Angriffsablauf beginnt den Behörden zufolge typischerweise auf Messaging-Plattformen wie WhatsApp und Telegram. Die Operateure recherchieren ihre Ziele im Vorfeld und bauen ein Vertrauensverhältnis auf, indem sie sich als Bekannte oder als technischer Support der jeweiligen Plattform ausgeben. Erst danach folgt die präparierte Datei.
Auffällig ist ein flexibles Vorgehen bei Schutzmaßnahmen: Häufig nehmen die Angreifer zunächst über ein dienstliches Gerät der Zielperson Kontakt auf. Blockieren dort Sicherheitsmechanismen die Zustellung, verlagern sie die Konversation auf das private Gerät, um die Unternehmensschutzmaßnahmen zu umgehen.
Zur Tarnung geben die Akteure schädliche Installationsdateien als legitime Hilfsprogramme oder als vermeintliche medizinische Unterlagen aus, etwa als Befunde einer MRT-Untersuchung. Beim Öffnen zeigt die Datei einen Köder-Bildschirm an, während die Schadsoftware im Hintergrund unbemerkt ausgeführt wird.
Nach der Ausführung verankert sich Chosen Brick über Run-Schlüssel in der Registry, um Neustarts zu überstehen. Zusätzlich versucht die Malware, lokale Sicherheitswerkzeuge auszuhebeln, indem sie Ausnahmen in Microsoft Defender einträgt.
Für die Befehls- und Kontrollkommunikation weist die Schadsoftware jedem infizierten Endpunkt eine eigene Telegram-Bot-ID zu. Damit wahren die Betreiber ihre operative Sicherheit und verhindern, dass sich Daten verschiedener Opfer vermischen. Der Datenabfluss läuft über die Telegram-Infrastruktur sowie über Cloud-Speicherdienste.
Das Funktionsspektrum reicht weit über reines Datensammeln hinaus. Die Operateure können Bildschirmfotos anfertigen, über das Mikrofon Audioaufnahmen des Rechners mitschneiden, im Browser gespeicherte Chat-Daten auslesen, E-Mails entwenden, weitere Schadsoftware nachladen und Befehle ausführen, die Daten löschen.
Eine automatisierte seitliche Ausbreitung im Netzwerk beherrscht Chosen Brick nicht. Über die Möglichkeit, Nachladekomponenten zu beziehen, können die Betreiber ihren Zugriff jedoch manuell erweitern.