אזהרה משותפת של בריטניה, ה-FBI והולנד: ריגול איראני מתחזה ל-Norton, ל-KeePass ול-Telegram
ב-15 בספטמבר פרסמו שלוש סוכנויות מערביות אזהרה על רוגלה איראנית שמגיעה כהתקנה מזויפת של תוכנות מוכרות, אחרי שיחה בוואטסאפ או בטלגרם עם ״תמיכה טכנית״ או מכר.
TL;DR בקצרה
- ה-NCSC הבריטי, ה-FBI והשירות ההולנדי AIVD חשפו ב-15 בספטמבר 2026 רוגלה שהבריטים מכנים CHOSEN BRICK וה-FBI מכנה HEAVYGRAM.
- לפי ה-FBI, מאחורי הקמפיין עומדים האקרים שפועלים בשם משרד המודיעין האיראני (MOIS), והמטרות הן מתנגדי משטר, עיתונאים ופעילים.
- הפיתיון: התקנות מזויפות של Norton, KeePass, Telegram, Adobe Flash Player וכלי AI כמו Pictory ו-RunwayML, אחרי פנייה בוואטסאפ, בטלגרם או באינסטגרם.
- הרוגלה מצלמת מסך, מקליטה מהמיקרופון, מעתיקה נתוני WhatsApp ו-Telegram מהדפדפן ויכולה למחוק את המחשב.
מישהו פונה אליכם בוואטסאפ, כנציג תמיכה או כמכר ותיק, ומציע לעזור בבעיה במחשב. אחרי כמה הודעות הוא מעביר לכם את ההתקנה של אנטי-וירוס או של מנהל סיסמאות. ב-15 בספטמבר 2026 פרסמו ה-NCSC הבריטי, ה-FBI ושירות הביון ההולנדי AIVD אזהרה משותפת. האזהרה עוסקת בתוכנת ריגול איראנית בשם CHOSEN BRICK.
התוקפים מפיצים אותה בדיוק כך, כהתקנות מזויפות של Norton, KeePass, Telegram ותוכנות מוכרות אחרות. היעד המוצהר הוא מתנגדי המשטר באיראן, עיתונאים ופעילים בכל העולם.
CHOSEN BRICK או HEAVYGRAM: כלי ריגול אחד, שני שמות
הבריטים קוראים לנוזקה CHOSEN BRICK, וה-FBI עוקב אחריה בשם HEAVYGRAM. לפי האזהרה המשותפת, היא פעילה לפחות מ-2025 ופוגעת רק במחשבי Windows. הדוח הטכני של ה-FBI מייחס את הפעילות להאקרים שפועלים בשם משרד המודיעין האיראני, MOIS.
הדוח מעריך שהמטרה היא לאסוף מודיעין, להדליף מידע ולפגוע בשם הטוב של הקורבנות. לפי ה-FBI, גרסאות של הכלי בשימוש כבר מסתיו 2023. הדוח הוא עדכון לאזהרה שקדמה לו מ-20 במרץ 2026.
היכולות רחבות: הרוגלה מצלמת את המסך ומפעילה את המיקרופון להקלטה. היא אוספת אנשי קשר ותוכן מיילים, ומעתיקה נתוני WhatsApp ו-Telegram מהדפדפן. היא גם מורידה כלים נוספים, ויכולה למחוק קבצים או את המחשב כולו.
כדי לא להתגלות, היא מוסיפה לעצמה החרגה ב-Microsoft Defender ונשארת פעילה גם אחרי הפעלה מחדש. הפיקוד והשליטה מתנהלים דרך בוט טלגרם משלו לכל קורבן. כך התעבורה נראית כמו שימוש רגיל בשירות לגיטימי. לפי הסוכנויות, מידע שנגנב כך כבר הופיע באתרי הדלפות פרו-איראניים.
ההנדסה החברתית היא הנשק העיקרי של CHOSEN BRICK
אין כאן חולשה טכנית מתוחכמת. ההתקפה נשענת על אמון. התוקפים יוצרים קשר דרך WhatsApp, Telegram ולפי ה-FBI גם Instagram.
הם מתחזים למכר או לתמיכה הטכנית של הפלטפורמה. הם בונים קשר לאורך זמן לפני ששולחים את הקובץ. הפיתיון מותאם לקורבן: התקנה של Norton Antivirus, KeePass, Telegram או Adobe Flash Player. הפיתיון כולל גם כלים ליצירת וידאו ב-AI כמו Pictory ו-RunwayML.
במקרים מסוימים התוקפים הציגו את הקבצים כתוצאות בדיקת MRI. לפי ה-FBI, חלק מהקורבנות התבקשו פשוט להתקין AnyDesk ולמסור לתוקף את קוד הגישה.
הסוכנויות מציינות פרט חשוב לארגונים. התוקף פונה לעיתים קרובות תחילה למכשיר העבודה. אחר כך הוא מנסה להעביר את השיחה למחשב האישי, שבו יש פחות הגנות. לכן ההגנה לא יכולה להסתיים במחשבים שהארגון מנהל.
לדברי פול צ׳יצ׳סטר, מנהל המבצעים של ה-NCSC, הקמפיין מראה כיצד איראן משתמשת במעקב דיגיטלי. לדבריו, היא עושה זאת באופן חסר רחמים כדי לדכא את מבקריה.
גם אם אתם לא עיתונאים או פעילים, הטכניקה עצמה מוכרת. פנייה בצ׳אט, הצגה כ״תמיכה״, ובקשה להתקין תוכנות או לתת גישה מרחוק. אותו תסריט משמש גם נוכלים רגילים.
מה זה אומר עבורכם
- אל תתקינו תוכנות שקיבלתם בצ׳אט: גם אם השולח נראה מוכר. הורידו תוכנות רק מאתר היצרן או מחנות האפליקציות הרשמית.
- תמיכה טכנית אמיתית לא פונה בוואטסאפ: Telegram, WhatsApp ו-Norton לא שולחים קבצי התקנה בהודעה פרטית. אם מישהו מבקש שתתקינו AnyDesk ותמסרו קוד, עצרו.
- אל תתעלמו מאזהרות SmartScreen: החלון של Windows מזהיר מפני קבצים לא מוכרים. הוא נועד בדיוק למקרים כאלה. השאירו גם את האנטי-וירוס ואת העדכונים האוטומטיים פעילים.
- לצוותי IT: עברו על המזהים שבאזהרה. בדקו את מפתח ה-Run בהרשמה ואת החרגות Defender. חפשו ביומני DNS ו-Proxy תעבורה לא צפויה ל-api.telegram.org ולשירותי אחסון כמו vultrobjects.com ו-storjshare.io.
- הדריכו עובדים בסיכון: עיתונאים, חוקרים ואנשים בעמדות רגישות צריכים לדעת שגם המחשב האישי הוא מטרה. עליהם להפעיל אימות דו-שלבי עמיד לפישינג.
מה הלאה
ה-FBI לא מסר את מספר הקורבנות ואת מיקומם. הסוכנויות מציינות שהגרסאות החדשות כבר מסתירות את תעבורת הטלגרם מאחורי שרתי Proxy. כלומר, הכלי ממשיך להתפתח.
כדאי להתייחס לאזהרה כאל תזכורת. הדרך הקלה ביותר לחדור למחשב היא עדיין לשכנע את המשתמש להתקין משהו בעצמו.
מקורות והרחבה
- Iranian cyber targeting of dissidents, activists and journalistsNCSC
- UK and allies expose spyware used by Iranian state actors to target dissidents, activists and journalistsNCSC
- Update on Government of Iran Cyber Actors' Deployment of Telegram C2 to Push Malware to Identified TargetsFBI
- NCSC and Allies Warn of Iranian Spyware CampaignInfosecurity Magazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
