NCSC, FBI e AIVD expõem o spyware iraniano CHOSEN BRICK

Um alerta conjunto de três países

Agências de cibersegurança dos Estados Unidos, do Reino Unido e dos Países Baixos expuseram conjuntamente uma operação de spyware ligada ao Estado iraniano chamada CHOSEN BRICK. O alerta, emitido pelo FBI, pelo National Cyber Security Centre (NCSC) do Reino Unido e pelo AIVD neerlandês, descreve uma ferramenta de vigilância criada para sequestrar microfones e aplicações de mensagens nos dispositivos das vítimas, transformando efetivamente telemóveis e computadores pessoais em dispositivos de escuta para os serviços de inteligência iranianos.

A campanha estará ativa desde 2023, com o malware também referido sob o nome HEAVYGRAM em análises técnicas relacionadas. O seu propósito, segundo as agências, é direto e preocupante: rastrear e vigiar dissidentes, ativistas e jornalistas que criticam o governo iraniano, independentemente do país do mundo onde vivam.

Como o spyware CHOSEN BRICK opera

O que torna o CHOSEN BRICK notável não é apenas quem ele visa, mas a profundidade com que se integra nas comunicações diárias da vítima. Em vez de simplesmente registar teclas ou roubar ficheiros, o malware foi concebido para intercetar aplicações de mensagens como o WhatsApp e o Telegram, ferramentas em que muitos ativistas e jornalistas confiam precisamente por assumirem que a cifra ponta a ponta mantém as suas conversas privadas.

Ao comprometer o próprio dispositivo em vez de tentar quebrar a cifra em trânsito, o malware contorna completamente essa proteção. Uma vez instalado, também pode ativar o microfone de um dispositivo, transformando um telemóvel pousado numa secretária ou num bolso num gravador de áudio clandestino. Este é um padrão que se tornou cada vez mais comum em spyware patrocinado pelo Estado: os atacantes já não precisam de derrotar uma cifra forte se conseguirem simplesmente assumir o controlo do endpoint onde as mensagens são escritas e lidas.

Já abordámos anteriormente a divulgação conjunta inicial da campanha de malware Chosen Brick, que descreveu como as três agências coordenaram as suas conclusões após identificarem indicadores de comprometimento sobrepostos em vários países. As reportagens mais recentes baseiam-se nesse alerta com mais detalhes sobre o direcionamento e o comportamento técnico do malware.

Quem está a ser visado, e porque importa para além do Irão

Os indivíduos identificados como alvos, dissidentes, ativistas de direitos humanos e jornalistas, são grupos que operam rotineiramente sob risco físico real quando as suas identidades, fontes ou comunicações são expostas. Para estes utilizadores, um dispositivo comprometido não é apenas um inconveniente; pode levar a assédio, detenção ou pior para si próprios ou para as pessoas com quem comunicam.

Isto é também um lembrete de que as campanhas de spyware patrocinadas pelo Estado raramente se limitam a um único país ou região. O alerta do NCSC, do FBI e do AIVD reflete um esforço de partilha de informações precisamente porque as vítimas do CHOSEN BRICK estão espalhadas além-fronteiras. Qualquer pessoa que trabalhe em jornalismo, ativismo ou defesa de causas ligadas ao Irão, mesmo a partir do estrangeiro, pode cair no âmbito deste tipo de direcionamento.

O que isto significa para si

A maioria dos leitores deste artigo provavelmente não será alvo direto de uma campanha de spyware de um Estado-nação como o CHOSEN BRICK. Mas a lição subjacente aplica-se amplamente: as aplicações de mensagens são tão seguras quanto o dispositivo onde são executadas. Uma cifra forte protege os dados em trânsito, não um telemóvel ou portátil já comprometido por malware com acesso ao microfone e capacidades de vigilância ao nível das aplicações.

Para jornalistas, ativistas e qualquer pessoa que comunique com contactos sensíveis, este alerta é um lembrete útil para rever a higiene básica dos dispositivos: manter sistemas operativos e aplicações atualizados, ser cauteloso com links ou anexos não solicitados e usar funcionalidades de segurança ao nível do dispositivo, como bloqueios de ecrã e cifra total do disco. Organizações que trabalham com indivíduos em risco, incluindo grupos de liberdade de imprensa e ONG, podem também querer rever a sua formação em segurança digital à luz desta ameaça específica.

Vale também a pena lembrar que uma VPN, embora útil para proteger o tráfego de rede e ocultar a localização, não defende contra malware já instalado num dispositivo. Spyware como o CHOSEN BRICK opera depois da camada de rede, diretamente no endpoint, razão pela qual práticas de segurança em camadas importam mais do que qualquer ferramenta isolada.

Principais conclusões

A exposição do CHOSEN BRICK pelo NCSC, pelo FBI e pelo AIVD sublinha quão sofisticado se tornou o spyware patrocinado pelo Estado e quão deliberadamente visa as aplicações de mensagens cifradas em que as pessoas mais confiam. Se você ou alguém que conhece trabalha em jornalismo, ativismo ou defesa de causas relacionadas com o Irão, encare isto como um momento para auditar a segurança dos dispositivos, e não como motivo de pânico.

Medidas práticas que vale a pena tomar agora incluem atualizar prontamente todas as aplicações e sistemas operativos, ser cético quanto a mensagens ou ficheiros inesperados mesmo de contactos familiares, ativar a autenticação de dois fatores sempre que disponível e considerar uma avaliação profissional de segurança digital se lidar com fontes ou comunicações sensíveis. A consciência de campanhas como o CHOSEN BRICK é o primeiro passo para se manter um passo à frente delas.