Die Tarnung der Schadsoftware setzt auf bekannte Markennamen: CHOSEN BRICK wird unter anderem als Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player oder KeePass ausgegeben. Häufig legen die Angreifer ihren Zielen nahe, die Dateien auf privaten Geräten zu starten — so lassen sich Sperren der Unternehmens-IT umgehen. Je nach gewähltem Vorwand kamen laut den Behörden mitunter auch Köder mit medizinischem Bezug zum Einsatz.
Beim Start zeigen die manipulierten Programme eine überzeugende Oberfläche, die zum jeweiligen Vorwand passt, während im Hintergrund unbemerkt CHOSEN BRICK installiert wird. Die Persistenz sichert sich die Schadsoftware über Run-Schlüssel in der Windows-Registry. Zur Tarnung trägt sie zudem Ausnahmen in Microsoft Defender ein, sodass die Erkennung ausbleibt.
Für die Steuerung setzen die Angreifer auf Telegram: Jede Infektion verbindet sich mit einem eigenen Telegram-Bot, der der Kennung des jeweiligen Opfers zugeordnet ist und als Befehls- und Kontrollkanal dient. Die abgegriffenen Daten fließen entweder über Telegram ab oder über Cloud-Dienste wie VultrObjects und StorjShare. Neuere Varianten von CHOSEN BRICK leiten ihren Datenverkehr zusätzlich über SOCKS5-Proxys, um die Aktivität zu verschleiern.
Das Funktionsspektrum reicht vom Abgriff der Kommunikation aus E-Mail, Telegram und WhatsApp über Bildschirmaufnahmen bis zu Tonmitschnitten — eine Kombination, die weniger auf klassische Wirtschaftsspionage als auf die Überwachung einzelner Personen zielt. Dazu passt die Beobachtung der Behörden, dass erbeutetes Material auf proiranischen Leak-Seiten veröffentlicht wird.
„Iran nutzt Cyberaktivitäten mit an Sicherheit grenzender Wahrscheinlichkeit, um die Unterdrückung von Personen zu unterstützen, die als Bedrohung für das Regime gelten, etwa Dissidenten, Aktivisten und Journalisten“, heißt es in der gemeinsamen Warnmeldung. Und weiter: „In einigen Fällen haben die iranischen Nachrichtendienste geplant, Personen im Ausland zu entführen oder tödliche Operationen gegen sie durchzuführen, die sie als Feinde des Regimes wahrnehmen.“
Für die Suche nach einer Infektion empfehlen die Behörden, die Run-Einträge in der Windows-Registry auf verdächtige Einträge zu prüfen und die Protokolle nach den in der Warnmeldung veröffentlichten Kompromittierungsindikatoren zu durchsuchen. Als verdächtig und prüfenswert gelten unerwartete Verbindungen zur Telegram-API sowie zu Backblaze B2, VultrObjects, StorjShare, IPRoyal und LightningProxies.