Cybersicherheitsbehörden in den Vereinigten Staaten, dem Vereinigten Königreich und den Niederlanden haben gemeinsam eine mit dem iranischen Staat verbundene Spyware-Operation namens CHOSEN BRICK enttarrnt. Die vom FBI herausgegebene Warnmeldung...

Eine gemeinsame Warnung aus drei Ländern

Cybersicherheitsbehörden in den Vereinigten Staaten, dem Vereinigten Königreich und den Niederlanden haben gemeinsam eine mit dem iranischen Staat verbundene Spyware-Operation namens CHOSEN BRICK enttarrnt. Die vom FBI, dem britischen National Cyber Security Centre (NCSC) und dem niederländischen AIVD herausgegebene Warnmeldung beschreibt ein Überwachungswerkzeug, das entwickelt wurde, um Mikrofone und Messaging-Apps auf den Geräten der Opfer zu kapern und so persönliche Telefone und Computer faktisch in Abhörgeräte für den iranischen Geheimdienst zu verwandeln.

Die Kampagne ist Berichten zufolge seit 2023 aktiv, wobei die Malware in verwandten technischen Analysen auch unter dem Namen HEAVYGRAM geführt wird. Ihr Zweck ist laut den Behörden ebenso klar wie beunruhigend: Dissidenten, Aktivisten und Journalisten, die die iranische Regierung kritisieren, zu verfolgen und zu überwachen, unabhängig davon, wo auf der Welt sie leben.

Wie CHOSEN BRICK Spyware funktioniert

Was CHOSEN BRICK bemerkenswert macht, ist nicht nur, wen sie ins Visier nimmt, sondern wie tief sie sich in die tägliche Kommunikation eines Opfers einnistet. Statt einfach Tastatureingaben zu protokollieren oder Dateien zu stehlen, ist die Malware darauf ausgelegt, Messaging-Apps wie WhatsApp und Telegram abzufangen – Werkzeuge, auf die sich viele Aktivisten und Journalisten gerade deshalb verlassen, weil sie davon ausgehen, dass Ende-zu-Ende-Verschlüsselung ihre Gespräche privat hält.

Indem sie das Gerät selbst kompromittiert, anstatt zu versuchen, die Verschlüsselung während der Übertragung zu brechen, umgeht die Malware diesen Schutz vollständig. Einmal installiert, kann sie zudem das Mikrofon eines Geräts aktivieren und ein Telefon, das auf einem Schreibtisch oder in einer Tasche liegt, in einen verdeckten Audiorekorder verwandeln. Dies ist ein Muster, das bei staatlich geförderter Spyware zunehmend üblich geworden ist: Angreifer müssen starke Verschlüsselung nicht mehr überwinden, wenn sie einfach den Endpunkt übernehmen können, an dem Nachrichten getippt und gelesen werden.

Wir haben zuvor über die ursprüngliche gemeinsame Offenlegung der Chosen-Brick-Malware-Kampagne berichtet, in der dargelegt wurde, wie die drei Behörden ihre Erkenntnisse koordinierten, nachdem sie überlappende Kompromittierungsindikatoren in mehreren Ländern identifiziert hatten. Die neuesten Berichte bauen auf dieser Warnmeldung auf und liefern mehr Details zur Zielausrichtung und zum technischen Verhalten der Malware.

Wer ins Visier genommen wird und warum das über Iran hinaus von Bedeutung ist

Die als Ziele genannten Personen – Dissidenten, Menschenrechtsaktivisten und Journalisten – sind Gruppen, die routinemäßig unter realem physischem Risiko operieren, wenn ihre Identitäten, Quellen oder Kommunikation offengelegt werden. Für diese Nutzer ist ein kompromittiertes Gerät nicht nur eine Unannehmlichkeit; es kann zu Schikanen, Verhaftung oder Schlimmerem für sie selbst oder die Menschen führen, mit denen sie kommunizieren.

Dies ist auch eine Erinnerung daran, dass staatlich geförderte Spyware-Kampagnen selten auf ein einzelnes Land oder eine einzelne Region beschränkt sind. Die Warnmeldung von NCSC, FBI und AIVD spiegelt genau deshalb eine Bemühung zum Austausch von Geheimdienstinformationen wider, weil die Opfer von CHOSEN BRICK über Ländergrenzen hinweg verstreut sind. Jeder, der im Journalismus, Aktivismus oder in der Interessenvertretung mit Bezug zu Iran arbeitet – selbst aus dem Ausland –, kann in den Anwendungsbereich dieser Art von Zielausrichtung fallen.

Was das für Sie bedeutet

Die meisten Leser dieses Artikels werden wahrscheinlich keine direkten Ziele einer staatlichen Spyware-Kampagne wie CHOSEN BRICK sein. Doch die zugrunde liegende Lehre gilt allgemein: Messaging-Apps sind nur so sicher wie das Gerät, auf dem sie laufen. Starke Verschlüsselung schützt Daten während der Übertragung, nicht aber ein Telefon oder Laptop, das bereits durch Malware mit Mikrofonzugriff und Überwachungsfähigkeiten auf App-Ebene kompromittiert wurde.

Für Journalisten, Aktivisten und alle, die mit sensiblen Kontakten kommunizieren, ist diese Warnmeldung ein nützlicher Anlass, grundlegende Gerätehygiene zu überdenken: Betriebssysteme und Apps aktuell halten, bei unerwarteten Links oder Anhängen vorsichtig sein und gerätebezogene Sicherheitsfunktionen wie Bildschirmsperren und Festplattenverschlüsselung nutzen. Organisationen, die mit gefährdeten Personen arbeiten, darunter Pressefreiheitsgruppen und NGOs, sollten angesichts dieser spezifischen Bedrohung möglicherweise auch ihre Schulungen zur digitalen Sicherheit überprüfen.

Es lohnt sich auch, daran zu erinnern, dass ein VPN zwar nützlich ist, um Netzwerkverkehr zu schützen und den Standort zu verschleiern, aber nicht vor Malware schützt, die bereits auf einem Gerät installiert wurde. Spyware wie CHOSEN BRICK operiert nach der Netzwerkschicht, direkt auf dem Endpunkt – weshalb mehrschichtige Sicherheitspraktiken wichtiger sind als jedes einzelne Werkzeug.

Wichtigste Erkenntnisse

Die Enttarnung von CHOSEN BRICK durch NCSC, FBI und AIVD unterstreicht, wie ausgefeilt staatlich geförderte Spyware geworden ist und wie gezielt sie die verschlüsselten Messaging-Apps ins Visier nimmt, denen Menschen am meisten vertrauen. Wenn Sie oder jemand, den Sie kennen, im Journalismus, Aktivismus oder in der Interessenvertretung mit Bezug zu Iran arbeiten, nehmen Sie dies als Anlass, die Gerätesicherheit zu überprüfen, statt in Panik zu verfallen.

Praktische Schritte, die sich jetzt lohnen, sind unter anderem: alle Apps und Betriebssysteme zeitnah aktualisieren, unerwarteten Nachrichten oder Dateien – auch von bekannten Kontakten – mit Skepsis begegnen, Zwei-Faktor-Authentifizierung aktivieren, wo verfügbar, und eine professionelle Bewertung der digitalen Sicherheit in Betracht ziehen, wenn Sie mit sensiblen Quellen oder Kommunikation umgehen. Das Bewusstsein für Kampagnen wie CHOSEN BRICK ist der erste Schritt, um ihnen einen Schritt voraus zu bleiben.

FAQ: Q1: Was ist CHOSEN BRICK? A1: CHOSEN BRICK ist eine mit dem iranischen Staat verbundene Spyware-Operation, die vom FBI, dem britischen NCSC und dem niederländischen AIVD enttarrnt wurde. Sie ist darauf ausgelegt, Mikrofone und Messaging-Apps zu kapern und die Geräte der Opfer in Abhörgeräte für den iranischen Geheimdienst zu verwandeln. Q2: Welche Behörden haben die gemeinsame Warnung zu CHOSEN BRICK herausgegeben? A2: Die Warnmeldung wurde vom FBI, dem britischen National Cyber Security Centre (NCSC) und dem niederländischen AIVD herausgegeben. Q3: Wie lange ist die CHOSEN BRICK-Kampagne bereits aktiv? A3: Die Kampagne ist Berichten zufolge seit 2023 aktiv. In verwandten technischen Analysen wird sie auch unter dem Namen HEAVYGRAM geführt. Q4: Auf wen soll CHOSEN BRICK abzielen? A4: Sie soll Dissidenten, Aktivisten und Journalisten, die die iranische Regierung kritisieren, verfolgen und überwachen, unabhängig davon, wo auf der Welt sie leben. Q5: Wie umgeht CHOSEN BRICK verschlüsselte Messaging-Apps? A5: Sie kompromittiert das Gerät selbst, anstatt zu versuchen, die Verschlüsselung während der Übertragung zu brechen, wodurch sie Apps wie WhatsApp und Telegram abfangen kann. Sie kann zudem das Mikrofon eines Geräts aktivieren, um Audio verdeckt aufzuzeichnen. ---END---