CHOSEN BRICK: Το κακόβουλο λογισμικό που κρύβεται ακόμη και σε πλαστά αποτελέσματα εξετάσεων

Κοινή προειδοποίηση για εκστρατεία ψηφιακής κατασκοπείας που αποδίδεται σε φορείς του ιρανικού κράτους εξέδωσαν οι αρμόδιες υπηρεσίες κυβερνοασφάλειας της Βρετανίας, των Ηνωμένων Πολιτειών και της Ολλανδίας.

Στο επίκεντρο βρίσκεται μια οικογένεια κακόβουλου λογισμικού με την ονομασία CHOSEN BRICK, η οποία έχει χρησιμοποιηθεί για τη στοχοποίηση δημοσιογράφων, ακτιβιστών και αντιφρονούντων σε διάφορες χώρες.

Την κοινή έκθεση συνέταξαν το βρετανικό Εθνικό Κέντρο Κυβερνοασφάλειας, το FBI και η ολλανδική Υπηρεσία Γενικών Πληροφοριών και Ασφάλειας.

Οι υπηρεσίες εκτιμούν ότι το Ιράν χρησιμοποιεί σχεδόν με βεβαιότητα τέτοιες κυβερνοεπιχειρήσεις για να παρακολουθεί και να καταστέλλει πρόσωπα τα οποία θεωρεί απειλή για το καθεστώς.

Πώς προσεγγίζουν τα θύματα
Η επίθεση δεν ξεκινά συνήθως με μια εμφανώς ύποπτη ειδοποίηση. Οι δράστες μελετούν πρώτα το πρόσωπο που θέλουν να στοχοποιήσουν, ώστε να διαμορφώσουν ένα πειστικό σενάριο προσέγγισης.

Στη συνέχεια επικοινωνούν μέσω εφαρμογών ανταλλαγής μηνυμάτων, όπως το WhatsApp και το Telegram, προσποιούμενοι κάποιον γνωστό του θύματος ή εκπρόσωπο υπηρεσίας τεχνικής υποστήριξης.

Οι επιτιθέμενοι προσπαθούν να δημιουργήσουν σχέση εμπιστοσύνης πριν αποστείλουν ένα αρχείο ή έναν σύνδεσμο. Το περιεχόμενο προσαρμόζεται στα ενδιαφέροντα, στην εργασία ή στις προσωπικές συνθήκες του στόχου ώστε να φαίνεται αυθεντικό.

Έχουν καταγραφεί περιπτώσεις στις οποίες το κακόβουλο αρχείο παρουσιαζόταν ως αποτέλεσμα μαγνητικής τομογραφίας. Σε άλλες επιθέσεις εμφανιζόταν ως νόμιμη εφαρμογή, όπως Telegram, Norton Antivirus, KeePass ή εργαλεία επεξεργασίας εικόνας και βίντεο.

Τι μπορεί να κάνει το CHOSEN BRICK
Μόλις το θύμα ανοίξει το αρχείο, εμφανίζεται στην οθόνη ένα φαινομενικά κανονικό περιεχόμενο, ώστε να μη δημιουργηθούν υποψίες. Στο παρασκήνιο, όμως, εγκαθίσταται το CHOSEN BRICK.

Το κακόβουλο λογισμικό έχει παρατηρηθεί να στοχεύει αποκλειστικά υπολογιστές με λειτουργικό σύστημα Windows. Μπορεί να παραμένει ενεργό ακόμη και μετά την επανεκκίνηση της συσκευής και να επιχειρεί την αποφυγή εντοπισμού από τα εργαλεία προστασίας.

Σύμφωνα με την κοινή τεχνική έκθεση, οι χειριστές του μπορούν μεταξύ άλλων:

Να υποκλέπτουν ηλεκτρονικά μηνύματα και δεδομένα επικοινωνίας.
Να αποκτούν πρόσβαση σε στοιχεία από WhatsApp και Telegram που είναι αποθηκευμένα στον φυλλομετρητή.
Να καταγράφουν εικόνες της οθόνης.
Να ενεργοποιούν το μικρόφωνο του υπολογιστή.
Να συλλέγουν πληροφορίες για τις επαφές και τη δραστηριότητα του θύματος.
Να κατεβάζουν πρόσθετο κακόβουλο λογισμικό.
Να διαγράφουν αρχεία ή ακόμη και να καταστρέφουν δεδομένα του συστήματος.
Η επικοινωνία με τους χειριστές πραγματοποιείται, μεταξύ άλλων, μέσω αυτοματοποιημένων λογαριασμών του Telegram, γεγονός που βοηθά την κακόβουλη δραστηριότητα να συγκαλύπτεται μέσα σε νόμιμη διαδικτυακή κίνηση.

Από την ψηφιακή παρακολούθηση στη φυσική απειλή
Οι αρχές προειδοποιούν ότι τα δεδομένα που υποκλέπτονται μπορούν να χρησιμοποιηθούν για την καταγραφή των επαφών, των μετακινήσεων και της καθημερινής δραστηριότητας ενός προσώπου.

Προσωπικά στοιχεία ορισμένων θυμάτων έχουν ήδη εμφανιστεί σε ιστοτόπους διαρροών που υποστηρίζουν το Ιράν. Αυτό, σύμφωνα με τις υπηρεσίες ασφαλείας, μπορεί να αυξήσει τον κίνδυνο παρενόχλησης ή επίθεσης εναντίον τους.

Η ανησυχία ενισχύεται από προηγούμενες καταγγελίες σύμφωνα με τις οποίες οι ιρανικές υπηρεσίες πληροφοριών έχουν σχεδιάσει απαγωγές ή θανατηφόρες επιχειρήσεις εναντίον επικριτών του καθεστώτος στο εξωτερικό.

Πώς μπορούν να προστατευθούν οι χρήστες
Οι τρεις υπηρεσίες επισημαίνουν ότι το βασικό μέσο της συγκεκριμένης εκστρατείας είναι η κοινωνική μηχανική, δηλαδή η χειραγώγηση του θύματος ώστε να εγκαταστήσει μόνο του το κακόβουλο αρχείο.

Για τον περιορισμό του κινδύνου συνιστούν:

Να μην εγκαθίσταται λογισμικό που αποστέλλεται μέσω συνδέσμων ή συνημμένων αρχείων.
Οι εφαρμογές να κατεβαίνουν μόνο από τον επίσημο ιστότοπο του κατασκευαστή ή από το κατάστημα εφαρμογών της συσκευής.
Το λειτουργικό σύστημα και όλα τα προγράμματα να ενημερώνονται τακτικά, κατά προτίμηση μέσω αυτόματων ενημερώσεων.
Να χρησιμοποιείται ενημερωμένο λογισμικό προστασίας από κακόβουλες εφαρμογές.
Να μην αγνοούνται ή απενεργοποιούνται οι προειδοποιήσεις ασφαλείας των Windows κατά τη λήψη αρχείων.
Να επιβεβαιώνεται από δεύτερο, ανεξάρτητο κανάλι η ταυτότητα του αποστολέα πριν ανοιχτεί ένα απρόσμενο αρχείο.
Να ενεργοποιείται πολυπαραγοντικός έλεγχος ταυτότητας, κατά προτίμηση με μέθοδο ανθεκτική στο phishing.
Οι οργανισμοί που πιστεύουν ότι κάποιος υπολογιστής έχει μολυνθεί καλούνται να απευθυνθούν άμεσα στο αρμόδιο τμήμα πληροφορικής ή σε ειδικούς κυβερνοασφάλειας. Ο έλεγχος θα πρέπει να επεκταθεί και στις προσωπικές συσκευές εργαζομένων που θεωρούνται πιθανοί στόχοι.