Um falso instalador de antivírus causou o estrago

O National Cyber Security Centre britânico, o FBI norte-americano e o serviço de informações neerlandês AIVD publicaram, a 15 de setembro de 2026, um aviso conjunto que atribui uma família de spyware para Windows chamada CHOSEN BRICK a atores ligados ao estado iraniano. O FBI afirmou que o Ministério dos Serviços de Informações e Segurança do Irão usa o malware para recolher informações, provocar fugas de dados e infligir danos reputacionais aos seus alvos. O diretor de operações do NCSC, Paul Chichester, disse que o Irão usa a vigilância digital sem escrúpulos para reprimir críticos do regime, roubando e-mails e mensagens e acedendo a dispositivos.

O método de distribuição é a razão pela qual vale a pena ler este caso para além do título. Os operadores contactavam os alvos no WhatsApp ou no Telegram fazendo-se passar por alguém que o alvo conhecia, construíam confiança ao longo de vários dias e depois entregavam o malware escondido em ficheiros disfarçados de software conhecido e fiável: Norton Antivirus, Adobe Flash Player, o gestor de palavras-passe KeePass, o próprio Telegram, e as ferramentas de IA Pictory e RunwayML. Alguém que esperava instalar software de proteção instalava, em vez disso, software de vigilância.

Porque importa: uma marca foi a superfície de ataque

A formação de sensibilização para a segurança costuma dizer às pessoas para confiarem em nomes de software conhecidos e respeitados e desconfiarem dos desconhecidos. Esta campanha inverte exatamente esse instinto: usa a reputação do Norton Antivirus e do KeePass, dois nomes em que as pessoas são treinadas a confiar precisamente por serem ferramentas de segurança, como disfarce. Um utilizador que verifica se um download tem o nome de um produto antivírus ou gestor de palavras-passe conhecido está a fazer exatamente a verificação que esta campanha foi concebida para superar.

A lição não é que o software de segurança seja pouco fiável. É que um nome de ficheiro ou ícone familiar não equivale a uma verificação, e que a mensagem de WhatsApp ou Telegram que constrói confiança antes de o ficheiro chegar é o momento real que vale a pena ensinar as pessoas a detetar, e não o ficheiro em si.

O que o malware faz na realidade

Uma vez em execução, o CHOSEN BRICK recolhe os contactos, a caixa de correio e as mensagens em redes sociais da vítima, capta o conteúdo do ecrã e pode ativar o microfone do dispositivo, segundo o aviso conjunto e relatos técnicos independentes. Sobrevive a uma reinicialização através de uma entrada de persistência na chave do registo do Windows HKCU\Software\Microsoft\Windows\CurrentVersion\Run, um pormenor suficientemente específico para que qualquer equipa de segurança focada em Windows possa verificar os seus próprios terminais. A campanha abrange apenas o Windows e visou dissidentes, ativistas e jornalistas no Reino Unido, nos EUA e nos Países Baixos desde pelo menos 2025.

As três agências apresentam a divulgação como uma atribuição conjunta e não como uma descoberta de um único país, o que é em si notável: os mesmos indicadores são agora públicos e utilizáveis em três autoridades nacionais de cibersegurança ao mesmo tempo, em vez de surgirem aos poucos em avisos nacionais separados com meses de intervalo.

O que isto significa para a formação de segurança de qualquer organização

O aviso nomeia dissidentes, ativistas e jornalistas como os alvos pretendidos, e não empresas, mas a técnica de distribuição, dias de construção de confiança numa aplicação de mensagens seguidos de um ficheiro disfarçado de software fiável, é genérica e já aparece em phishing dirigido a empresas e em fraude por e-mail empresarial. Qualquer organização cujo pessoal inclua jornalistas, trabalhadores de ONG ou dirigentes com um perfil público ligado a uma diáspora ou comunidade de defesa de causas deve tratar os indicadores deste aviso, incluindo a chave de persistência específica do registo, como algo a verificar diretamente, em vez de arquivar a história como notícia de direitos humanos e seguir em frente.

Leia a seguir: A Claude Tornou-Se Equipa De Engenharia Bélica  |  Acelere o uso de IA, e ninguém tem de explicar porquê