Ein gefälschter Antivirus-Installer richtete den Schaden an
Das britische National Cyber Security Centre, das US-amerikanische FBI und der niederländische Geheimdienst AIVD veröffentlichten am 15. September 2026 einen gemeinsamen Hinweis, der eine Windows-Spähsoftware namens CHOSEN BRICK staatsnahen iranischen Akteuren zuschreibt. Das FBI erklärte, das iranische Ministerium für Nachrichtenwesen und Sicherheit nutze die Schadsoftware, um Informationen zu sammeln, Daten zu leaken und dem Ansehen der Zielpersonen zu schaden. NCSC-Einsatzleiter Paul Chichester sagte, der Iran nutze digitale Überwachung rücksichtslos, um Kritiker des Regimes zu unterdrücken, indem er E-Mails und Nachrichten stehle und auf Geräte zugreife.
Der Verbreitungsweg ist es, weshalb sich dieser Fall lohnt, über die Schlagzeile hinaus zu lesen. Die Angreifer nahmen auf WhatsApp oder Telegram Kontakt zu Zielpersonen auf und gaben sich als jemand aus, den das Ziel kannte, bauten über mehrere Tage Vertrauen auf und lieferten die Schadsoftware dann versteckt in Dateien aus, die als vertraute, bekannte Software getarnt waren: Norton Antivirus, Adobe Flash Player, der Passwortmanager KeePass, Telegram selbst sowie die KI-Werkzeuge Pictory und RunwayML. Wer erwartete, Schutzsoftware zu installieren, installierte stattdessen Überwachungssoftware.
Warum es zählt: Ein Markenname war die Angriffsfläche
Schulungen zum Sicherheitsbewusstsein raten Menschen routinemäßig, bekannten, seriösen Softwarenamen zu vertrauen und bei unbekannten misstrauisch zu sein. Diese Kampagne kehrt genau diesen Instinkt um: Sie nutzt den Ruf von Norton Antivirus und KeePass, zwei Namen, denen Menschen gerade deshalb vertrauen sollen, weil es Sicherheitswerkzeuge sind, als Tarnung. Wer prüft, ob ein Download nach einem bekannten Antivirenprodukt oder Passwortmanager benannt ist, macht genau die Prüfung, die diese Kampagne bestehen sollte.
Die Lehre daraus ist nicht, dass Sicherheitssoftware unzuverlässig ist. Sie ist, dass ein vertrauter Dateiname oder ein bekanntes Symbol keine Verifizierung darstellt, und dass die WhatsApp- oder Telegram-Nachricht, die vor der Datei Vertrauen aufbaut, der eigentliche Moment ist, den es zu erkennen gilt, nicht die Datei selbst.
Was die Schadsoftware tatsächlich tut
Einmal aktiv, sammelt CHOSEN BRICK die Kontakte, den E-Mail-Posteingang und Social-Media-Nachrichten des Opfers, erfasst Bildschirminhalte und kann das Mikrofon des Geräts aktivieren, so der gemeinsame Hinweis und unabhängige technische Berichte. Es übersteht einen Neustart durch einen Persistenzeintrag im Windows-Registrierungsschlüssel HKCU\Software\Microsoft\Windows\CurrentVersion\Run, ein Detail, das konkret genug ist, damit jedes auf Windows fokussierte Sicherheitsteam seine eigenen Endgeräte darauf überprüfen kann. Die Kampagne betrifft ausschließlich Windows und richtete sich mindestens seit 2025 gegen Dissidenten, Aktivisten und Journalisten in Großbritannien, den USA und den Niederlanden.
Die drei Behörden stellen die Offenlegung als gemeinsame Zuschreibung dar und nicht als Befund eines einzelnen Landes, was an sich bemerkenswert ist: Dieselben Indikatoren sind nun bei drei nationalen Cybersicherheitsbehörden gleichzeitig öffentlich und nutzbar, statt stückweise in separaten nationalen Hinweisen Monate auseinander aufzutauchen.
Was das für die Sicherheitsschulung jeder Organisation bedeutet
Der Hinweis nennt Dissidenten, Aktivisten und Journalisten als beabsichtigte Ziele, nicht Unternehmen, doch das Vorgehen bei der Verbreitung, tagelanger Vertrauensaufbau in einer Messaging-App gefolgt von einer als vertrauenswürdige Software getarnten Datei, ist generisch und taucht bereits bei gezieltem Unternehmensphishing und Betrug per Geschäfts-E-Mail auf. Jede Organisation, zu deren Mitarbeitenden Journalisten, NGO-Beschäftigte oder Führungskräfte mit einem öffentlichen Profil in Verbindung mit einer Diaspora- oder Interessengemeinschaft zählen, sollte die Indikatoren dieses Hinweises, einschließlich des konkreten Registrierungs-Persistenzschlüssels, direkt überprüfen, statt die Geschichte nur als Menschenrechtsnachricht abzulegen und weiterzumachen.
Weiterlesen: Claude Wurde Zum Waffen-Entwicklungsteam | KI-Nutzung hochfahren, ohne dass es einer erklärt
