Een nagemaakt antivirus-installatiebestand richtte de schade aan
Het Britse National Cyber Security Centre, de Amerikaanse FBI en de Nederlandse inlichtingendienst AIVD publiceerden op 15 september 2026 een gezamenlijk advies waarin een Windows-spywarefamilie genaamd CHOSEN BRICK wordt toegeschreven aan actoren met banden met de Iraanse staat. De FBI zei dat het Iraanse ministerie van Inlichtingen en Veiligheid de malware gebruikt om inlichtingen te verzamelen, datalekken te veroorzaken en reputatieschade toe te brengen aan doelwitten. NCSC-operationeel directeur Paul Chichester zei dat Iran digitale surveillance meedogenloos gebruikt om critici van het regime te onderdrukken, door e-mails en berichten te stelen en toegang te krijgen tot apparaten.
De verspreidingsmethode is de reden waarom deze zaak het waard is om voorbij de kop te lezen. Operators namen contact op met doelwitten via WhatsApp of Telegram, deden zich voor als een bekende van het doelwit, bouwden dagenlang vertrouwen op en leverden de malware vervolgens verborgen in bestanden vermomd als vertrouwde, bekende software: Norton Antivirus, Adobe Flash Player, de wachtwoordmanager KeePass, Telegram zelf, en de AI-tools Pictory en RunwayML. Iemand die verwachtte beveiligingssoftware te installeren, installeerde in plaats daarvan spionagesoftware.
Waarom het telt: een merknaam was het aanvalsoppervlak
Bewustwordingstrainingen over beveiliging zeggen mensen doorgaans om bekende, gerenommeerde softwarenamen te vertrouwen en wantrouwend te zijn tegenover onbekende namen. Deze campagne keert dat instinct precies om: ze gebruikt de reputatie van Norton Antivirus en KeePass, twee namen die mensen juist vertrouwen omdat het beveiligingstools zijn, als vermomming. Een gebruiker die controleert of een download de naam draagt van een bekend antivirusproduct of wachtwoordmanager, doet precies de controle die deze campagne moest doorstaan.
De les is niet dat beveiligingssoftware onbetrouwbaar is. Het is dat een vertrouwde bestandsnaam of pictogram geen verificatie is, en dat het WhatsApp- of Telegram-bericht dat vertrouwen opbouwt voordat het bestand arriveert, het echte moment is dat het waard is mensen te leren herkennen, niet het bestand zelf.
Wat de malware daadwerkelijk doet
Eenmaal actief verzamelt CHOSEN BRICK de contacten, de e-mailinbox en berichten op sociale media van het slachtoffer, legt schermweergave vast en kan de microfoon van het apparaat activeren, aldus het gezamenlijke advies en onafhankelijke technische rapportage. Het overleeft een herstart via een persistentie-invoer onder de Windows-registersleutel HKCU\Software\Microsoft\Windows\CurrentVersion\Run, een detail specifiek genoeg voor elk op Windows gericht beveiligingsteam om zijn eigen eindpunten hierop te controleren. De campagne betreft alleen Windows en richtte zich sinds minstens 2025 op dissidenten, activisten en journalisten in het VK, de VS en Nederland.
De drie instanties presenteren de openbaarmaking als een gezamenlijke toeschrijving in plaats van een bevinding van een enkel land, wat op zich opmerkelijk is: dezelfde indicatoren zijn nu tegelijk openbaar en bruikbaar bij drie nationale cyberbeveiligingsautoriteiten, in plaats van stukje bij beetje op te duiken in afzonderlijke nationale adviezen maanden na elkaar.
Wat dit betekent voor de beveiligingstraining van elke organisatie
Het advies noemt dissidenten, activisten en journalisten als beoogde doelwitten, geen bedrijven, maar de verspreidingstechniek, dagenlang vertrouwen opbouwen in een berichten-app gevolgd door een bestand vermomd als vertrouwde software, is generiek en duikt al op bij gerichte bedrijfsphishing en zakelijke e-mailfraude. Elke organisatie met personeel dat journalisten, ngo-medewerkers of leidinggevenden met een publiek profiel verbonden aan een diaspora- of belangengemeenschap omvat, zou de indicatoren van dit advies, inclusief de specifieke registerpersistentiesleutel, direct moeten controleren in plaats van het verhaal onder mensenrechtennieuws te archiveren en verder te gaan.
Lees hierna: Claude Werd Een Wapenengineeringteam | Voer AI-gebruik snel op, en niemand hoeft te zeggen waarom
