Agências de cibersegurança dos Estados Unidos, do Reino Unido e dos Países Baixos detalharam um malware para Windows que, segundo elas, é usado pelo serviço de inteligência do Irã para espionar dissidentes, jornalistas e ativistas em várias partes do mundo.
Controlado pelo aplicativo de mensagens Telegram, o malware consegue copiar emails e mensagens de chat da vítima, capturar screenshots e ativar o microfone para gravar áudio.
O FBI chama a ameaça de HEAVYGRAM, enquanto o Centro Nacional de Segurança Cibernética do Reino Unido, o NCSC, usa o nome CHOSEN BRICK.
O alerta conjunto foi publicado em 15 de setembro pelo NCSC, pelo FBI e pelo serviço de inteligência dos Países Baixos, o AIVD. O FBI também divulgou uma análise atualizada do malware, com mais detalhes técnicos e novos indicadores de comprometimento, ampliando um alerta de março de 2026, o primeiro a descrever a campanha.
Segundo o FBI, o malware está ligado ao Ministério da Inteligência e Segurança do Irã, o MOIS, principal órgão de inteligência do país. A agência situa o início da campanha mais ampla no outono de 2023. De acordo com o alerta, o CHOSEN BRICK vem sendo usado contra pessoas no Reino Unido, nos Estados Unidos, nos Países Baixos e em outras regiões desde pelo menos 2025.
As vítimas mais visadas são, em geral, dissidentes iranianos, jornalistas críticos ao regime, ativistas e integrantes de grupos cujas posições entram em conflito com o governo, afirmam as agências. O FBI, porém, alerta que qualquer pessoa considerada de interesse pelo Irã pode se tornar alvo.
As agências afirmam que o risco vai além dos dados roubados. Screenshots e outras informações coletadas podem revelar contatos, localização e rotina diária da vítima. Em alguns casos, dados pessoais de vítimas apareceram em sites de vazamento pró-Irã, o que, segundo o alerta, aumenta o risco à segurança dessas pessoas.
Em março, o Departamento de Justiça dos Estados Unidos apreendeu quatro desses sites de vazamento iranianos, que, segundo o órgão, eram usados para publicar dados roubados e defender o assassinato de dissidentes, jornalistas e outras pessoas.
As agências dizem que o Irã quase certamente usa esse tipo de atividade cibernética para ajudar a reprimir quem considera uma ameaça. Em alguns casos, acrescentam, seus serviços de inteligência planejaram sequestrar ou matar essas pessoas no exterior.
Como o ataque funciona
O ataque começa com uma mensagem. Os invasores se passam por alguém conhecido da vítima ou por suporte técnico de um aplicativo de mensagens, criando confiança antes de enviar um arquivo que parece ser um programa legítimo, afirmam as agências.
Na maioria dos casos, os invasores começam pelo computador de trabalho da vítima, dizem as agências. Se isso não funcionar, tentam avançar para um dispositivo pessoal, que não conta com a proteção de segurança da empresa.
Entre os disfarces já identificados estão o aplicativo de vídeo com IA Pictory, o gerenciador de senhas KeePass, o próprio Telegram, o RunwayML, o Norton Antivirus e o Adobe Flash Player. Em alguns casos, o arquivo foi preparado para parecer resultado de exames de ressonância magnética.
Quando a vítima abre o arquivo, uma tela falsa convincente aparece enquanto o malware real é instalado em segundo plano. Uma primeira etapa se passa pelo aplicativo, e uma segunda etapa conecta o computador a um bot do Telegram usado pelos invasores para controlá-lo e coletar os dados roubados. Todas as versões observadas até agora funcionam apenas em Windows.
Para permanecer ativo após uma reinicialização, o malware se adiciona a uma chave "Run" do Registro do Windows, fazendo com que ele seja executado novamente sempre que o usuário faz login. Ele também orienta o Microsoft Defender, o antivírus nativo do sistema, a ignorar determinadas pastas para que seus arquivos não sejam verificados.
Cada computador infectado recebe seu próprio bot do Telegram, o que, segundo as agências, evita que a atividade de uma vítima se misture com a de outra.
Depois de instalado, o malware pode receber várias ordens: listar programas em execução, capturar screenshots, ativar o microfone, copiar dados do Telegram e do WhatsApp no navegador, roubar senhas salvas e endereços de email, baixar malware adicional e apagar arquivos. Segundo o alerta conjunto, pelo menos uma versão também consegue apagar todo o computador.
As agências afirmam que não há indícios de propagação autônoma desse malware dentro de redes, embora ele consiga baixar outras ferramentas. Os arquivos roubados saem do computador por meio do bot do Telegram e de serviços de armazenamento em nuvem, como Vultr e Storj. As versões mais recentes enviam o tráfego do Telegram por servidores proxy para esconder a comunicação, diz o alerta.
Sinais para observar
Os alertas listam sinais que defensores e usuários em risco podem verificar, incluindo:
- Chave do Registro: uma entrada na chave "Run" com o nome SMQDService ou winappx, adicionada para iniciar o malware no login.
- Caminho de arquivo: uma pasta com um espaço adicional, C:\Windows \SysWOW64, onde o malware deposita arquivos extras.
- Rede: conexões inesperadas com serviços aparentemente legítimos, incluindo api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com e lightningproxies.net.
- Mutex: marcadores de nome que o malware define para evitar execução duplicada, como ytyjyujyu e noi672pp434awkc12f.
A análise do FBI e o alerta conjunto trazem a lista completa, incluindo hashes de arquivos. As agências alertam que nomes de arquivos e pastas podem mudar, portanto esses sinais não devem ser tratados como os únicos pontos de atenção.
Como se proteger
Para reduzir o risco, as agências recomendam que usuários individuais:
- Não abram arquivos enviados por mensagens ou links e baixem software apenas de sites oficiais ou lojas de aplicativos.
- Mantenham o sistema operacional e todos os aplicativos atualizados, de preferência com atualizações automáticas.
- Usem antivírus e mantenham a proteção ativada e em dia.
- Não ignorem alertas do SmartScreen ao baixar arquivos.
Para administradores de rede, a recomendação é:
- Ativar MFA resistente a phishing.
- Usar controle de permissão de aplicativos e de dispositivos gerenciados.
- Usar as ferramentas de verificação e segurança oferecidas pelo provedor de email.
- Monitorar computadores e tráfego de rede, além de pesquisar os logs pelos indicadores acima.
Quem suspeitar de infecção deve verificar a chave "Run" descrita acima, informar a equipe de TI e comunicar o caso à agência nacional de cibersegurança. Os alertas não dizem se a remoção do malware, sozinha, elimina totalmente o comprometimento.
Quando o FBI alertou pela primeira vez sobre a campanha, em março, o Telegram disse ao TechCrunch que seus moderadores “removem rotineiramente quaisquer contas identificadas como envolvidas com malware”. As agências apresentam suas conclusões como avaliações técnicas, e não como fatos já encerrados na Justiça.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...