Per anni, Teheran ha affinato un modello di sorveglianza low-cost e ad altissimo impatto: niente exploit zero-day costosi, niente infrastrutture C2 dedicate da smantellare, solo un bot Telegram per vittima e un file eseguibile mascherato da referto medico o da software innocuo. Un avviso congiunto pubblicato il 15 settembre 2026 da NCSC (Regno Unito), FBI (Stati Uniti) e AIVD (Paesi Bassi) conferma che questa macchina di spionaggio, attribuita al Ministero dell’Intelligence e della Sicurezza iraniano (MOIS), è tuttora pienamente operativa e ha colpito dissidenti, attivisti e giornalisti in almeno tre paesi occidentali.

Un pattern che si ripete dal 2023

Il malware al centro dell’advisory, battezzato CHOSEN BRICK (con una variante correlata indicata in alcune fonti come HEAVYGRAM), non è una novità assoluta: l’FBI aveva già segnalato nell’autunno del 2023 un impianto Telegram-based con caratteristiche simili, e nel marzo 2026 era arrivato un ulteriore warning pubblico accompagnato dal ritiro di una taglia del Dipartimento di Stato USA legata a un’operazione di hack-and-leak del luglio 2025. L’avviso di metà settembre 2026 è quindi il punto più recente di una campagna pluriennale, non un incidente isolato — ed è la prima volta che tre agenzie di intelligence occidentali lo certificano congiuntamente, segno che il numero di vittime accertate sul proprio territorio ha raggiunto una soglia che giustifica un’attribuzione pubblica coordinata.

Quello che colpisce gli analisti non è la sofisticazione del codice — CHOSEN BRICK gira solo su Windows e non sfrutta vulnerabilità note — ma la disciplina operativa con cui viene distribuito. Il vettore d’ingresso è quasi sempre lo stesso: un lungo lavoro di ingegneria sociale su WhatsApp o Telegram, spesso protratto per settimane, in cui l’operatore MOIS costruisce un rapporto di fiducia con il bersaglio prima di inviare il payload. In uno dei casi documentati da Recorded Future, l’esca era un referto di risonanza magnetica falsificato — l’immagine di un’ernia del disco — inviato a una persona identificata dal regime come “nemico”, nel tentativo di sfruttare la naturale disponibilità a scaricare un allegato medico apparentemente innocuo.

Software falsi come cavallo di Troia

Oltre ai documenti-esca, gli operatori iraniani spacciano il malware per applicazioni legittime molto diffuse: cloni fasulli di Pictory, RunwayML, Norton Antivirus, Adobe Flash Player e persino KeePass — la scelta di un password manager come esca non è casuale, dato l’interesse degli attaccanti per le credenziali della vittima. Un dettaglio operativo rilevante emerso dall’advisory riguarda la transizione dai dispositivi aziendali a quelli personali: i target, spesso professionisti di ONG, testate giornalistiche o organizzazioni per i diritti umani, vengono convinti a proseguire la conversazione sui propri device privati, fuori dal perimetro di monitoraggio della sicurezza IT del datore di lavoro.

Comando e controllo: un bot Telegram per ogni vittima

L’elemento più caratteristico della campagna resta l’architettura C2. Invece di gestire server dedicati facilmente individuabili e sequestrabili, CHOSEN BRICK comunica esclusivamente tramite l’API pubblica di Telegram, con un bot ID univoco assegnato a ciascuna vittima. Questo approccio garantisce una segmentazione operativa quasi perfetta: la compromissione di un singolo impianto non espone l’infrastruttura usata contro gli altri bersagli, e il traffico verso api.telegram.org si confonde nel rumore di fondo di un servizio legittimo usato da miliardi di persone. Per l’esfiltrazione di file più corposi, gli operatori si appoggiano a provider di cloud storage economici e poco monitorati come Backblaze B2, Vultr Object Storage e Storj.

Una volta installato, CHOSEN BRICK garantisce agli operatori un accesso quasi totale alla vita digitale del bersaglio:

• Furto di contatti, cronologia messaggi e conversazioni da Telegram e WhatsApp
• Acquisizione periodica di screenshot dello schermo
• Attivazione del microfono per registrazioni audio ambientali
• Estrazione di email e contenuti di posta elettronica
• Cancellazione di file e capacità di “wiping” per coprire le tracce
• Download e installazione di payload aggiuntivi su richiesta

L’obiettivo dichiarato, secondo l’NCSC, è costruire un vero e proprio “pattern of life” della vittima: orari, contatti frequenti, spostamenti, relazioni professionali — informazioni che nel contesto iraniano possono tradursi in conseguenze fisiche dirette per la persona sorvegliata e per la sua rete di contatti in patria.

Persistenza e tecniche di evasione

Sul piano tecnico, il malware si affida a meccanismi di persistenza classici ma efficaci: chiavi di registro Run in HKCU\Software\Microsoft\Windows\CurrentVersion\Run, con valori osservati come SMQDService e winappx (non esclusivi, quindi da trattare come indicatori deboli). Per l’evasione, gli operatori aggiungono esclusioni personalizzate a Windows Defender e registrano mutex dedicati per evitare esecuzioni multiple che potrebbero insospettire l’utente o generare telemetria anomala.

Due righe per i difensori occidentali

Il coordinamento tra NCSC, FBI e AIVD segnala un salto di scala nella minaccia: non si tratta più di episodi isolati contro singoli attivisti iraniani in esilio, ma di una campagna sistemica che tocca cittadini e residenti di almeno tre paesi occidentali, spesso attraverso i loro dispositivi personali collegati a reti aziendali o istituzionali. Redazioni giornalistiche, ONG per i diritti umani e organizzazioni che ospitano dissidenti dovrebbero considerare CHOSEN BRICK un rischio concreto nella propria analisi delle minacce, non un problema esclusivamente geopolitico distante dal proprio perimetro IT.

Le raccomandazioni delle tre agenzie sono pragmatiche: diffidare di software ricevuto via link o allegato anche da contatti apparentemente fidati, mantenere sistemi e antivirus aggiornati, abilitare SmartScreen e le protezioni equivalenti su altri OS, e — per le organizzazioni — implementare MFA resistente al phishing, application allowlisting e monitoraggio attivo di endpoint e traffico di rete verso domini cloud anomali. Il traffico verso api.telegram.org da un endpoint aziendale che non dovrebbe usare quel servizio, o connessioni inattese verso backblazeb2.com, vultrobjects.com e storjshare.io, meritano un’indagine immediata.

Indicatori di compromissione

Domini/servizi C2 e di exfiltration osservati:
- api.telegram.org (canale C2, bot ID univoco per vittima)
- backblazeb2.com (exfiltration file)
- vultrobjects.com (exfiltration file)
- storjshare.io (exfiltration file)

Chiavi di registro di persistenza (indicatori deboli, non esclusivi):
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SMQDService
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\winappx

Vettori di distribuzione noti:
- App falsificate: Pictory, RunwayML, Norton Antivirus, Adobe Flash Player, KeePass
- Documenti-esca: referti medici falsificati (es. risonanza magnetica)
- Canale di adescamento: WhatsApp, Telegram

Attribuzione: Ministero dell'Intelligence e della Sicurezza iraniano (MOIS)
Fonti advisory: NCSC (UK), FBI (US), AIVD (NL) - 15 settembre 2026

Chi opera in settori a rischio — giornalismo investigativo, diritti umani, comunità della diaspora iraniana — dovrebbe considerare l’adozione di dispositivi separati per le comunicazioni sensibili e formazione mirata sul social engineering di lungo periodo, che resta il vero punto debole sfruttato da questa campagna, ben più della sofisticazione del malware stesso.