英国、米国、オランダは9月15日、サイバーセキュリティーに関する共同警告を発表した。3か国によると、イラン政府と関係のあるサイバー攻撃者が、標的型のフィッシング攻撃「Spear phishing」と「CHOSEN BRICK」と呼ばれるスパイウェアを使い、反体制派や活動家、記者らを攻撃している。攻撃者は標的となる人物をだましてスパイウェアをダウンロードさせ、その行動を追跡しようとしている。

共同警告は、英国の国家サイバーセキュリティーセンター（NCSC）、米連邦捜査局（FBI）、オランダの情報・安全保障総局（AIVD）が発表した。

NCSCによると、CHOSEN BRICKを使えば、攻撃者は標的の連絡先、電子メール、ソーシャルメディア上のメッセージなどの情報を収集できる。画面の内容を取得したり、端末のマイクにアクセスしたりする機能もある。

共同警告によると、イラン政府と関係のある攻撃者は、WhatsAppやTelegramなどのメッセージアプリで標的の知人になりすまし、親しくなって信頼を得た後、CHOSEN BRICKを仕掛けて機密情報を盗む。イランが脅威とみなす世界各地の反体制派、活動家、記者が、このスパイウェアの標的になっている。イランの情報機関は、政権の敵とみなす人物を海外で拉致する計画を立て、場合によっては殺害作戦を実行したこともある。

3か国はまた、イランの攻撃者が標的の事情に応じて攻撃手法を調整するため、最初の接触方法は一様ではないと警告した。サイバー活動の最終的な目的もそれぞれ異なる。ただし、攻撃に至る一連の手順は通常、次の基本的なパターンに沿っている。

攻撃者はWhatsAppやTelegramなどのメッセージアプリで、標的が信頼する個人や組織になりすます。「ソーシャルエンジニアリング攻撃」によって最初の接触を図り、アクセス権を得る。

攻撃者は悪意のあるプログラム「Payload」を、それまでの偽装工作とつじつまの合う内容に見せかけ、標的に本物だと信じ込ませる。

Payloadは別のマルウェアを導入し、Telegramを使って指令を送受信する。これにより、悪意のある活動を通常の正規の処理に紛れ込ませる。

このマルウェアには複数の機能があり、さまざまな作戦に柔軟に利用できる。

また共同警告は、CHOSEN BRICKには動作を持続させる機能があり、標的の端末を再起動しても稼働し続けるとしている。

NCSCの運用担当ディレクター、ポール・チチェスター氏は声明で、今回のサイバー活動の詳細は、イランが政権批判者を抑え込むため、電子メールやメッセージの窃取、各種端末への侵入を含むデジタル監視手段を、ためらうことなく利用している実態を示していると述べた。