Najgroźniejszy element nowej kampanii szpiegowskiej nie znajduje się w samym kodzie złośliwego oprogramowania. Zanim CHOSEN BRICK trafi na komputer ofiary, napastnicy mogą przez dłuższy czas prowadzić z nią zwyczajną rozmowę, podszywać się pod znaną osobę albo pomoc techniczną i wykorzystywać wcześniej zdobyte informacje, aby zbudować wiarygodną historię. Dopiero później pojawia się plik. Może wyglądać jak instalator Telegrama, Norton Antivirus, KeePass, programu wykorzystującego AI albo nawet dokument zawierający wyniki rezonansu magnetycznego. Brytyjskie NCSC, amerykańskie FBI i holenderski AIVD ostrzegły 15 września 2026 roku, że malware jest wykorzystywany w operacjach przypisywanych irańskim podmiotom państwowym. Głównymi celami mają być dysydenci, aktywiści i dziennikarze, choć zastosowane techniki socjotechniczne są ważną lekcją również dla zwykłych użytkowników komputerów.
Co to jest CHOSEN BRICK i kogo atakuje nowe oprogramowanie szpiegowskie?
CHOSEN BRICK to rodzina złośliwego oprogramowania działającego na komputerach z systemem Windows, która według brytyjskiego National Cyber Security Centre była wykorzystywana przeciwko wybranym celom co najmniej od 2025 roku. FBI śledzi ten sam rodzaj zagrożenia pod nazwą HEAVYGRAM. Nie jest to typowy masowy malware rozsyłany do milionów przypadkowych adresów z nadzieją, że niewielka część odbiorców otworzy załącznik. Kampania jest znacznie bardziej selektywna. Atakujący wcześniej zdobywają informacje dotyczące konkretnej osoby, jej kontaktów, zainteresowań i pracy, a następnie przygotowują komunikację dopasowaną do celu. NCSC wskazuje przede wszystkim osoby postrzegane przez irańskie władze jako zagrożenie, w tym działaczy opozycyjnych, aktywistów oraz dziennikarzy znajdujących się także poza Iranem.
Według wspólnego komunikatu brytyjskich, amerykańskich i holenderskich służb operacja ma służyć przede wszystkim zbieraniu informacji. Po skutecznym zainfekowaniu komputera operator może uzyskać dostęp do danych pozwalających odtworzyć kontakty ofiary, jej komunikację czy codzienne aktywności. NCSC podkreśla również, że informacje zdobyte podczas niektórych wcześniejszych operacji pojawiały się później na stronach publikujących wykradzione dane. Z punktu widzenia ofiary konsekwencje mogą więc wykraczać daleko poza samą utratę prywatności na komputerze. Ujawnienie kontaktów, rozmów lub innych informacji może zostać wykorzystane do dalszego nękania albo wywierania presji. Reuters informuje, że wspólne ostrzeżenie służb USA, Wielkiej Brytanii i Holandii przypisuje wykorzystywanie spyware irańskiemu Ministerstwu Wywiadu i Bezpieczeństwa.
Jak zaczyna się atak CHOSEN BRICK i dlaczego pierwszym etapem jest zwykła rozmowa?
W przypadku CHOSEN BRICK napastnik nie musi zaczynać od wiadomości przypominającej klasyczny phishing. Może odezwać się przez WhatsApp, Telegram albo inną platformę i przez pewien czas nie wysyłać żadnego podejrzanego pliku. Według NCSC atakujący budują relację i wykorzystują wiedzę zebraną wcześniej na temat konkretnego celu. Mogą podszywać się pod osobę, którą ofiara znała wcześniej, albo pod pomoc techniczną używanej przez nią usługi. Dzięki temu późniejsza prośba o pobranie dokumentu lub aplikacji pojawia się w kontekście, który wydaje się logiczny. To zasadniczo zmienia charakter zagrożenia. Użytkownik nie otrzymuje przypadkowego maila od nieznanego nadawcy, lecz wiadomość, która wygląda jak kontynuacja wiarygodnej rozmowy.
Właśnie dlatego standardowa rada „nie otwieraj podejrzanych załączników” nie zawsze wystarcza. W opisanych przypadkach załącznik lub link został przygotowany tak, aby przestał wyglądać podejrzanie. Jeśli rozmowa dotyczyła problemu technicznego, ofiara mogła otrzymać instalator programu. Jeżeli temat dotyczył zdrowia, przynętą mogły być rzekome wyniki badań. Napastnicy wykorzystują więc nie tylko wygląd pliku, ale całą historię poprzedzającą jego przesłanie. NCSC zaznacza również, że w części przypadków pierwszy kontakt odbywał się na urządzeniu służbowym. Jeśli zabezpieczenia firmowe blokowały plik albo ryzyko wykrycia było wysokie, napastnicy próbowali przekonać cel do otwarcia go na prywatnym komputerze, gdzie poziom ochrony mógł być niższy.
Pod jakie aplikacje i dokumenty podszywa się spyware CHOSEN BRICK?
Lista przynęt pokazuje, jak elastyczna jest ta kampania. NCSC wymienia pliki podszywające się między innymi pod Telegram, Norton Antivirus, KeePass, Adobe Flash Player, Pictory oraz RunwayML. To celowo bardzo różne programy. Jedne kojarzą się z komunikacją, inne z bezpieczeństwem, przechowywaniem haseł lub narzędziami wykorzystującymi sztuczną inteligencję. Dzięki temu atakujący mogą dobrać historię do zainteresowań oraz sytuacji konkretnej osoby. Ofiara zainteresowana montażem materiałów lub AI może otrzymać inny plik niż ktoś, kogo przekonuje się, że powinien zainstalować aktualizację zabezpieczeń. Szczególnie przewrotne jest podszywanie się pod program antywirusowy - użytkownik sądzi wtedy, że wykonuje czynność mającą zwiększyć bezpieczeństwo komputera, choć w rzeczywistości uruchamia złośliwe oprogramowanie.
Najbardziej charakterystycznym przykładem pozostają jednak fałszywe wyniki rezonansu magnetycznego. Taka przynęta opiera się na zupełnie innym rodzaju emocji niż wiadomość o aktualizacji programu. Dokument dotyczący własnego zdrowia ma duże szanse zostać otwarty szybko i bez typowej ostrożności stosowanej wobec nieznanego oprogramowania. Financial Times, powołując się na zachodnie służby wywiadowcze, opisuje właśnie przypadki wykorzystania plików udających wyniki MRI. Po ich otwarciu użytkownik widzi ekran pasujący do historii przedstawionej przez napastnika, podczas gdy w tle instalowane jest właściwe oprogramowanie szpiegowskie. To pokazuje, że skuteczność kampanii wynika z połączenia technologii i psychologii. Malware nie musi wyglądać niezwykle zaawansowanie, jeśli użytkownik został wcześniej skutecznie przekonany, że plik jest dokładnie tym, czego się spodziewa.
Co CHOSEN BRICK może zrobić po zainfekowaniu komputera z Windows?
Po skutecznym uruchomieniu CHOSEN BRICK daje operatorowi szerokie możliwości prowadzenia obserwacji. Według NCSC malware może wykonywać zrzuty ekranu, zbierać informacje o systemie i uruchomionych procesach, przechwytywać dane związane z komunikacją oraz uzyskiwać dostęp do wiadomości e-mail. Może również aktywować mikrofon komputera i przechwytywać dźwięk. Szczególnie istotna jest możliwość pozyskiwania informacji związanych z Telegramem i WhatsAppem używanymi w przeglądarce. W efekcie przejęty komputer staje się źródłem informacji nie tylko o samej ofierze, ale również o osobach, z którymi utrzymuje ona kontakt. W operacjach wymierzonych w dziennikarzy lub działaczy społecznych taka lista kontaktów może być równie cenna jak treść konkretnych dokumentów.
NCSC zwraca uwagę, że szczególnie często obserwowano wykonywanie zrzutów ekranu. Jest to prosta, ale skuteczna metoda zdobywania informacji, ponieważ pozwala przechwycić to, co użytkownik aktualnie widzi: rozmowy, dokumenty, kontakty czy informacje wyświetlane w różnych aplikacjach. Malware może ponadto pobierać kolejne pliki i uruchamiać dodatkowe złośliwe komponenty, co oznacza, że jego możliwości nie muszą ograniczać się do funkcji obecnych w pierwszej wersji infekcji. W co najmniej jednej analizowanej próbce służby zauważyły również funkcję pozwalającą usuwać dane z komputera. Zagrożenie nie sprowadza się więc wyłącznie do dyskretnego podglądania użytkownika. W zależności od decyzji operatora zainfekowany komputer może stać się narzędziem szpiegowskim, punktem do dalszego pobierania malware albo obiektem działań destrukcyjnych.
Dlaczego CHOSEN BRICK jest trudniejszy do wykrycia niż zwykły podejrzany załącznik?
Pierwszą warstwą ochronną malware jest socjotechnika. Jeśli użytkownik jest przekonany, że samodzielnie pobrał legalny program albo dokument, może przez długi czas nie podejrzewać, że infekcja w ogóle nastąpiła. Po uruchomieniu przynęty na ekranie może pojawić się treść pasująca do oczekiwań - instalator aplikacji albo dokument związany z wcześniejszą rozmową. Dzięki temu nie pojawia się oczywisty sygnał ostrzegawczy, taki jak pusty ekran czy komunikat błędu. Malware wykonuje swoje zadanie w tle. NCSC informuje, że obserwowane warianty potrafiły również modyfikować ustawienia bezpieczeństwa Windows w sposób mający utrudnić wykrycie infekcji. Wszystkie opisane dotąd przypadki dotyczyły systemu Windows, dlatego kampania nie jest obecnie przedstawiana przez służby jako zagrożenie działające identycznie na Androidzie, iOS czy macOS.
Dodatkową zaletą dla operatorów jest wykorzystywanie popularnych usług internetowych do komunikacji ze złośliwym oprogramowaniem. Według NCSC CHOSEN BRICK może korzystać z infrastruktury Telegrama do odbierania poleceń i przesyłania części informacji. To nie oznacza, że Telegram sam w sobie jest złośliwą usługą ani że instalacja prawdziwej aplikacji Telegram powoduje infekcję. Cyberprzestępcy i grupy państwowe od dawna próbują wykorzystywać legalne platformy jako element własnej infrastruktury, ponieważ ruch do popularnych usług jest trudniejszy do odróżnienia od zwykłej aktywności użytkownika. NCSC informuje też o wykorzystywaniu usług chmurowych do przesyłania zdobytych danych. Takie podejście utrudnia poleganie wyłącznie na prostych blokadach domen i pokazuje, dlaczego ważniejsze staje się analizowanie całego zachowania urządzenia.
Dlaczego fałszywy antywirus i wyniki rezonansu są skuteczniejszą przynętą niż klasyczny phishing?
Klasyczny phishing zazwyczaj próbuje stworzyć poczucie pilności: przesyłka czeka na dopłatę, konto zostanie zablokowane albo należy natychmiast zmienić hasło. Kampania CHOSEN BRICK pokazuje bardziej zaawansowane podejście. Napastnicy nie muszą polegać wyłącznie na presji czasu. Zamiast tego budują wiarygodność stopniowo, poznają ofiarę i dopiero później wybierają przynętę dopasowaną do sytuacji. Rzekomy antywirus może zostać przedstawiony jako rozwiązanie problemu technicznego, Telegram jako potrzebna aplikacja do dalszej komunikacji, a wyniki rezonansu jako dokument, który bezpośrednio dotyczy zdrowia odbiorcy. Im bardziej osobisty i logiczny jest kontekst, tym słabiej działa intuicyjne pytanie użytkownika: „dlaczego ktoś mi to wysyła?”. Odpowiedź została bowiem zbudowana podczas wcześniejszej rozmowy.
Ten model ataku jest szczególnie ważny w czasach, gdy użytkownicy nauczyli się rozpoznawać część najbardziej oczywistych oszustw. Podejrzany e-mail z przypadkowego adresu jest łatwiejszy do zignorowania niż wiadomość od osoby przedstawiającej się jako znany kontakt. W przypadku ataków ukierunkowanych przeciwnik może korzystać z informacji dostępnych publicznie - profili społecznościowych, publikacji zawodowych, list uczestników wydarzeń czy innych źródeł - aby jego historia była spójna. Nie oznacza to, że każda osoba korzystająca z Telegrama czy WhatsAppa znajduje się w grupie wysokiego ryzyka. CHOSEN BRICK jest według służb używany przede wszystkim w operacjach wymierzonych w konkretne cele. Sam schemat socjotechniczny może jednak zostać wykorzystany również przez inne grupy i jest przykładem ewolucji phishingu w kierunku bardziej spersonalizowanych rozmów.
Jak rozpoznać próbę ataku podobną do kampanii CHOSEN BRICK?
Najważniejszym sygnałem ostrzegawczym może nie być wygląd samego pliku, lecz nietypowa prośba pojawiająca się podczas rozmowy. Jeśli znajomy kontakt nagle prosi o zainstalowanie programu, pobranie aplikacji z przesłanego pliku albo otwarcie dokumentu z nieoczekiwanego źródła, warto potwierdzić jego tożsamość drugim kanałem. Telefon, rozmowa wideo albo kontakt poprzez wcześniej znany numer może ujawnić podszywanie się pod daną osobę. Programy takie jak Telegram, KeePass czy oprogramowanie antywirusowe powinny być pobierane bezpośrednio z oficjalnych witryn producentów albo z zaufanych sklepów, a nie z instalatora przesłanego w rozmowie. Podobna ostrożność jest potrzebna w przypadku dokumentów medycznych - jeśli plik ma pochodzić od placówki, można potwierdzić sposób jego dostarczenia bezpośrednio u źródła.
Dla organizacji szczególnie ważny jest inny element kampanii opisany przez NCSC. Atakujący próbowali przenosić infekcję z komputerów służbowych na urządzenia prywatne, jeśli zabezpieczenia firmy utrudniały wykonanie pliku. Prośba w rodzaju „spróbuj otworzyć to na prywatnym laptopie” powinna więc być traktowana jako bardzo poważny sygnał ostrzegawczy. Użytkownik nie powinien obchodzić firmowych zabezpieczeń tylko dlatego, że przesłany dokument nie otwiera się na urządzeniu służbowym. Jeżeli system ochronny blokuje plik, rozsądniejszym działaniem jest przekazanie go zespołowi IT lub bezpieczeństwa. W przypadku podejrzenia infekcji ważne jest również szybkie odłączenie się od dalszej komunikacji z podejrzanym nadawcą i skorzystanie z profesjonalnej pomocy, szczególnie gdy komputer zawiera dane zawodowe albo informacje wrażliwe.
Czy CHOSEN BRICK jest zagrożeniem tylko dla dziennikarzy i aktywistów?
Obecne ostrzeżenie służb dotyczy przede wszystkim bardzo konkretnych grup. NCSC, FBI i AIVD opisują CHOSEN BRICK jako narzędzie wykorzystywane w ukierunkowanych działaniach przeciwko osobom, które irańskie władze mogą postrzegać jako przeciwników lub źródło interesujących informacji. Nie ma podstaw, aby przedstawiać tę kampanię jako masową epidemię spyware infekującą przypadkowych użytkowników Windows. To ważne rozróżnienie, ponieważ samo używanie Telegrama, WhatsAppa albo programów wymienionych w ostrzeżeniu nie oznacza zagrożenia. Ryzyko pojawia się wtedy, gdy użytkownik otrzymuje fałszywy plik podszywający się pod legalną aplikację i zostaje przekonany do jego ręcznego uruchomienia.
Znaczenie CHOSEN BRICK wykracza jednak poza konkretną kampanię. Pokazuje ono, jak bardzo nowoczesne cyberataki przesuwają się z masowej automatyzacji w stronę budowania zaufania. Zabezpieczenia techniczne nadal pozostają kluczowe, ale mogą nie wystarczyć, jeśli użytkownik sam próbuje obejść ich działanie po namowie osoby, której ufa. Najbardziej interesującą częścią tego zagrożenia nie jest więc kolejna lista funkcji spyware, lecz sposób dostarczenia. Atak może zacząć się od rozmowy, która przez kilka dni nie zawiera niczego podejrzanego. Dopiero kiedy napastnik uzna, że zdobył wystarczające zaufanie, wysyła przygotowany pod konkretną osobę plik. CHOSEN BRICK przypomina tym samym, że w najbardziej ukierunkowanych kampaniach człowiek nadal pozostaje jednym z najważniejszych elementów całego systemu bezpieczeństwa.
