Saltano i controlli aziendali quando il bersaglio passa al device personale
Il joint advisory di NCSC, FBI e AIVD aggiunge il punto più importante su CHOSEN BRICK: gli operatori iraniani smettono di insistere sul dispositivo aziendale quando viene bloccati e spostano l’esca sul device personale del bersaglio. Questo rompe l’assunto che i controlli enterprise bastino a contenere la campagna sui soli endpoint gestiti.
CHOSEN BRICK resta un malware Windows che usa chiavi di registro per persistere, aggiunge esclusioni a Microsoft Defender per restare nascosto e parla con gli operatori via Telegram. Il contagio parte da WhatsApp o Telegram, con un contatto costruito nel tempo; se il lavoro non passa, gli operatori chiedono di aprire lo stesso file su un laptop o telefono personale, dove policy, EDR e logging aziendali di norma non coprono più nulla.
Per chi protegge dissidenti, giornalisti, attivisti o ONG, il problema non è solo il payload. La superficie di contenimento si sposta fuori dal perimetro gestito, e l’investigazione eredita un device che l’organizzazione non controlla davvero.
Iranian hackers use CHOSEN BRICK Windows malware to spy on targets
Government agencies are warning that Iranian state-linked hackers are using a Windows malware strain named CHOSEN BRICK to target dissidents, activists, and journalists worldwide.