İran Bağlantılı Casus Yazılım CHOSEN BRICK Muhalifleri ve Gazetecileri Hedef Alıyor

İran Bağlantılı Casus Yazılım CHOSEN BRICK Muhalifleri ve Gazetecileri Hedef Alıyor

ABD, Birleşik Krallık ve Hollanda siber güvenlik birimleri ile Federal Soruşturma Bürosu (FBI), İran hükümetiyle ilişkili siber saldırganların yeni bir casus yazılım operasyonu yürüttüğünü duyurdu. Ortak uyarı raporuna göre, “CHOSEN BRICK” ismi verilen gelişmiş Windows casus yazılımı; özellikle bu üç ülkede yaşayan muhalifleri, gazetecileri ve insan hakları savunucularını gözetlemek üzere sahaya sürüldü.

Sosyal Mühendislikle Gelen Bulaşma Yöntemleri

Saldırıların ilk temas noktası Telegram ve WhatsApp gibi anlık mesajlaşma platformları oluyor. Saldırganlar hedeflerine; güvenilir bir tanıdık, teknik destek personeli veya sağlık çalışanı gibi sahte kimliklerle yaklaşıyor. Şirket ağlarındaki güvenlik bariyerlerini devre dışı bırakmak amacıyla kurbanlar, gönderilen dosyaları kişisel bilgisayarlarında çalıştırmaları yönünde ikna ediliyor.

Oltalama senaryolarında; RunwayML, Pictory, KeePass, Norton Antivirus, Telegram ve Adobe Flash Player gibi popüler yazılımların sahte sürümleri yem olarak kullanılıyor. Kurban ekranında meşru görünen bir arayüzle karşılaşırken, arka planda CHOSEN BRICK sisteme yerleşiyor ve kalıcılığını sağlamak için Windows Kayıt Defteri’ndeki (Registry Run) anahtarlarını güncelliyor.

Gelişmiş Casusluk ve Sistem Temizleme Yetenekleri

Güvenlik çözümlerine yakalanmamak için Microsoft Defender’ın dışlama (istisna) listelerine kendisini ekleyen kötü amaçlı yazılım, her hedefe özel atanmış Telegram botları vasıtasıyla Komuta ve Kontrol (C2) bağlantısını kuruyor. Sisteme sızdıktan sonra şu yetenekleri sergiliyor:

• Donanım ve sistem verilerini toplama, aktif süreçleri haritalandırma,
• Mikrofon üzerinden ses kaydı gerçekleştirme ve anlık ekran görüntüleri alma,
• E-posta trafiği ile tarayıcılar üzerindeki WhatsApp ve Telegram oturum verilerini çalma,
• “C:\Windows\SysWOW64” dizinine ilave zararlı bileşenler indirme,
• Gerektiğinde delilleri karartmak amacıyla sistemi tamamen silme (system wipe).

Veri Sızıntısı ve Sınır Ötesi Baskı Faaliyetleri

Elde edilen hassas dokümanlar; Telegram API altyapısının yanı sıra StorjShare ve VultrObjects benzeri bulut depolama kanalları üzerinden dışarı aktarılıyor. Zararlının güncel sürümlerinde ağ izlerini gizlemek amacıyla SOCKS5 tünellemeleri ile LightningProxies ve IPRoyal gibi ticari proxy servislerinin kullanıldığı saptandı.

Güvenlik ve istihbarat analizleri, temin edilen bilgilerin İran yanlısı ifşa platformlarında hedef şahıslara itibar suikastı düzenlemek, psikolojik baskı kurmak ve yurt dışındaki muhaliflere yönelik suikast ya da kaçırma eylemlerine istihbarat tabanı hazırlamak amacıyla paylaşıldığını gösteriyor. Güvenlik güçleri, kurum ve kullanıcıların Windows Kayıt Defteri girişlerini düzenli kontrol etmelerini, olağan dışı Telegram ve bulut trafiğini yakından izlemelerini tavsiye ediyor.

CHOSEN BRICK tehdidi, otoriter yönetimlerin sınır aşan baskı stratejilerini fiziki izlemeden siber alana taşıdığı hibrit çatışma modelinin çarpıcı bir örneği olarak değerlendiriliyor.