Una acción coordinada entre el FBI, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) y la agencia de inteligencia neerlandesa AIVD ha puesto al descubierto una peligrosa campaña de ciberespionaje impulsada por actores estatales iraníes. Las autoridades han emitido un comunicado conjunto advirtiendo sobre la circulación de Chosen Brick, una herramienta maliciosa diseñada para infiltrarse en ordenadores con sistema operativo Windows. La amenaza, que lleva operativa al menos desde 2025, utiliza las plataformas WhatsApp y Telegram como vía de entrada para interceptar comunicaciones, capturar pantallas y mantener un control silencioso sobre los dispositivos de periodistas, activistas y disidentes políticos.
–Ingeniería social y suplantación de marcas populares para burlar la cautela
La efectividad de esta ofensiva radica en una meticulosa fase de preparación previa y no en un fallo técnico del propio sistema operativo. Los atacantes analizan minuciosamente la red de contactos, las dinámicas de trabajo y el entorno personal de cada objetivo antes de entablar conversación. Al fabricar un contexto creíble y entablar una interacción que simula ser legítima, los operadores logran reducir las prevenciones habituales de las víctimas para que ejecuten archivos infectados.
Para garantizar la descarga, el malware se distribuye oculto bajo la apariencia de instaladores de software ampliamente conocidos. Entre los cebo identificados por las agencias figuran aplicaciones de mensajería y seguridad como Telegram, Norton Antivirus y KeePass, además de utilidades populares como Adobe Flash Player, Pictory y RunwayML. Una vez que la persona ejecuta el instalador, Chosen Brick se aloja en el sistema sin mostrar actividad visible en pantalla, asegurando su permanencia mediante la modificación del registro de Windows en la ruta de inicio automático para reactivarse con cada reinicio del ordenador.
–Evasión del antivirus, robo masivo de datos y capacidad de destrucción
Tras concretar la infección, la prioridad del programa malicioso es pasar desapercibido. Para ello, el código modifica la lista de exclusiones de Microsoft Defender, bloqueando las alertas de seguridad tradicionales. La comunicación con los administradores de la campaña se realiza mediante la API de Telegram, asignando a cada víctima un bot específico que actúa como canal privado para recibir instrucciones y filtrar la información sustraída.
Las capacidades de monitoreo de Chosen Brick abarcan la lectura de procesos activos, la recolección de datos del sistema, la captura de pantalla en tiempo real y la grabación del audio ambiental del entorno donde se encuentra el equipo. Asimismo, rastrea las credenciales y los historiales de conversación de WhatsApp y Telegram almacenados en los navegadores web. Sobre la gravedad de este despliegue, el informe de los organismos internacionales resulta tajante: «El riesgo principal radica en la capacidad de los atacantes para construir un entorno de confianza artificial; la amenaza no se limita al robo de datos, sino a la posibilidad técnica de ejecutar comandos destructivos que borren por completo el almacenamiento del dispositivo».
–El peligro para el entorno personal y las pautas de prevención
El informe enfatiza que la campaña no apunta exclusivamente a redes corporativas blindadas por departamentos de informática, sino que busca infectar los dispositivos personales de los empleados fuera del alcance de las herramientas de supervisión empresarial. Por esta razón, los organismos recomiendan a las organizaciones formar a sus colaboradores para identificar patrones de suplantación de identidad en sus ordenadores particulares.
Para verificar la integridad de un equipo ante cualquier sospecha, la auditoría debe centrarse en revisar los programas instalados recientemente, inspeccionar los mensajes adjuntos no solicitados procedentes de contactos habituales y examinar la lista de exclusiones en Microsoft Defender. Detectar cualquier alteración no autorizada en las claves de inicio del registro es el paso definitivo para neutralizar la amenaza antes de que la información confidencial quede totalmente expuesta.