Un instalador de antivirus falso causó el daño
El Centro Nacional de Ciberseguridad del Reino Unido, el FBI de Estados Unidos y el servicio de inteligencia AIVD de los Países Bajos publicaron el 15 de septiembre de 2026 una alerta conjunta que atribuye una familia de programas espía para Windows llamada CHOSEN BRICK a actores vinculados al estado iraní. El FBI afirmó que el Ministerio de Inteligencia y Seguridad de Irán usa el malware para recopilar inteligencia, filtrar datos e infligir daño reputacional a sus objetivos. El director de operaciones del NCSC, Paul Chichester, dijo que Irán usa la vigilancia digital sin miramientos para reprimir a los críticos del régimen, robando correos y mensajes y accediendo a dispositivos.
El método de distribución es lo que hace que este caso merezca leerse más allá del titular. Los operadores contactaron a los objetivos en WhatsApp o Telegram haciéndose pasar por alguien que el objetivo conocía, generaron confianza durante varios días y después entregaron el malware oculto en archivos disfrazados de software conocido y de confianza: Norton Antivirus, Adobe Flash Player, el gestor de contraseñas KeePass, el propio Telegram y las herramientas de IA Pictory y RunwayML. Alguien que esperaba instalar software de protección instaló en cambio software de vigilancia.
Por qué importa: una marca fue la superficie de ataque
La formación en concienciación de seguridad suele decir a la gente que confíe en nombres de software conocidos y de buena reputación y que sospeche de los desconocidos. Esta campaña invierte ese instinto directamente: usa la reputación de Norton Antivirus y KeePass, dos nombres en los que se entrena a la gente a confiar precisamente porque son herramientas de seguridad, como disfraz. Un usuario que comprueba que una descarga lleva el nombre de un producto antivirus o gestor de contraseñas conocido está haciendo exactamente la comprobación que esta campaña fue diseñada para superar.
La lección no es que el software de seguridad no sea fiable. Es que un nombre de archivo o un icono familiar no equivale a verificación, y que el mensaje de WhatsApp o Telegram que genera confianza antes de que llegue el archivo es el momento real que merece la pena enseñar a detectar, no el archivo en sí.
Qué hace realmente el malware
Una vez en ejecución, CHOSEN BRICK recopila los contactos, la bandeja de entrada de correo y los mensajes de redes sociales de la víctima, capta el contenido de la pantalla y puede activar el micrófono del dispositivo, según la alerta conjunta y reportes técnicos independientes. Sobrevive a un reinicio mediante una entrada de persistencia en la clave del registro de Windows HKCU\Software\Microsoft\Windows\CurrentVersion\Run, un detalle lo bastante concreto como para que cualquier equipo de seguridad centrado en Windows compruebe sus propios equipos frente a él. La campaña solo afecta a Windows y ha apuntado a disidentes, activistas y periodistas en el Reino Unido, Estados Unidos y los Países Bajos desde al menos 2025.
Las tres agencias presentan la divulgación como una atribución conjunta y no como un hallazgo de un solo país, lo cual es en sí mismo destacable: los mismos indicadores son ahora públicos y utilizables en tres autoridades nacionales de ciberseguridad a la vez, en lugar de aparecer poco a poco en alertas nacionales separadas con meses de diferencia.
Qué significa esto para la formación en seguridad de cualquier organización
La alerta nombra a disidentes, activistas y periodistas como sus objetivos previstos, no a empresas, pero la técnica de distribución, días de generación de confianza en una aplicación de mensajería seguidos de un archivo disfrazado de software de confianza, es genérica y ya aparece en el spear phishing corporativo y el fraude por correo empresarial. Cualquier organización cuyo personal incluya periodistas, trabajadores de ONG o directivos con un perfil público vinculado a una diáspora o comunidad de defensa debería tratar los indicadores de esta alerta, incluida la clave de persistencia específica del registro, como algo que comprobar directamente en lugar de archivar la historia como noticia de derechos humanos y seguir adelante.
Leer a continuación: Claude Se Convirtió En Un Equipo De Armamento | Escala el uso de IA rápido, y nadie tiene que decir por qué
