Un finto installer antivirus ha fatto il danno
Il National Cyber Security Centre britannico, l'FBI statunitense e il servizio di intelligence olandese AIVD hanno pubblicato il 15 settembre 2026 un avviso congiunto che attribuisce una famiglia di spyware per Windows chiamata CHOSEN BRICK ad attori legati allo stato iraniano. L'FBI ha dichiarato che il Ministero dell'Intelligence e della Sicurezza iraniano usa il malware per raccogliere informazioni, condurre fughe di dati e infliggere danni reputazionali ai propri obiettivi. Il direttore delle operazioni dell'NCSC, Paul Chichester, ha detto che l'Iran usa la sorveglianza digitale senza scrupoli per reprimere i critici del regime, rubando email e messaggi e accedendo ai dispositivi.
Il metodo di distribuzione è ciò che rende questo caso degno di essere letto oltre il titolo. Gli operatori contattavano gli obiettivi su WhatsApp o Telegram fingendosi qualcuno che l'obiettivo conosceva, costruivano fiducia per diversi giorni, poi consegnavano il malware nascosto in file camuffati da software noto e affidabile: Norton Antivirus, Adobe Flash Player, il gestore di password KeePass, Telegram stesso e gli strumenti IA Pictory e RunwayML. Chi si aspettava di installare software di protezione installava invece software di sorveglianza.
Perché conta: un marchio è diventato la superficie di attacco
La formazione sulla consapevolezza della sicurezza dice di norma alle persone di fidarsi di nomi software noti e affidabili e di diffidare di quelli sconosciuti. Questa campagna ribalta esattamente questo istinto: usa la reputazione di Norton Antivirus e KeePass, due nomi di cui le persone sono addestrate a fidarsi proprio perché sono strumenti di sicurezza, come travestimento. Un utente che controlla che un download porti il nome di un noto prodotto antivirus o gestore di password sta facendo esattamente il controllo che questa campagna era costruita per superare.
La lezione non è che il software di sicurezza non sia affidabile. È che un nome file o un'icona familiare non equivalgono a una verifica, e che il messaggio WhatsApp o Telegram che costruisce fiducia prima dell'arrivo del file è il momento reale su cui vale la pena addestrare le persone a fare attenzione, non il file in sé.
Cosa fa realmente il malware
Una volta in esecuzione, CHOSEN BRICK raccoglie i contatti, la casella email e i messaggi sui social della vittima, cattura il contenuto dello schermo e può attivare il microfono del dispositivo, secondo l'avviso congiunto e report tecnici indipendenti. Sopravvive a un riavvio tramite una voce di persistenza nella chiave del registro di Windows HKCU\Software\Microsoft\Windows\CurrentVersion\Run, un dettaglio abbastanza specifico da permettere a qualsiasi team di sicurezza focalizzato su Windows di controllare i propri endpoint. La campagna riguarda solo Windows e ha preso di mira dissidenti, attivisti e giornalisti nel Regno Unito, Stati Uniti e Paesi Bassi almeno dal 2025.
Le tre agenzie presentano la divulgazione come un'attribuzione congiunta e non come una scoperta di un singolo paese, il che è di per sé notevole: gli stessi indicatori sono ora pubblici e utilizzabili contemporaneamente da tre autorità nazionali di cybersicurezza, invece di emergere a pezzi in avvisi nazionali separati a distanza di mesi.
Cosa significa per la formazione sulla sicurezza di qualsiasi organizzazione
L'avviso indica dissidenti, attivisti e giornalisti come obiettivi previsti, non le aziende, ma la tecnica di distribuzione, giorni di costruzione di fiducia su un'app di messaggistica seguiti da un file camuffato da software affidabile, è generica e compare già nel phishing mirato aziendale e nella frode via email aziendale. Qualsiasi organizzazione il cui personale comprenda giornalisti, dipendenti di ONG o dirigenti con un profilo pubblico legato a una diaspora o comunità di advocacy dovrebbe trattare gli indicatori di questo avviso, inclusa la specifica chiave di persistenza nel registro, come qualcosa da verificare direttamente, invece di archiviare la notizia come una storia sui diritti umani e andare avanti.
Da leggere ora: Claude È Diventato Una Squadra Di Ingegneria Bellica | Cresci troppo in fretta con l'IA, nessuno spiega perché
