دوره گزارش‌دهی: 14 تا 21 سپتامبر 2026
برش ارزیابی: 21 سپتامبر 2026
دامنه: عملیات سایبری دولتی و همسو با دولت، کمپین‌های APT، اطلاعات فنی، بهره‌برداری فعال، ریسک زیرساخت‌های حیاتی، و فعالیت‌های اطلاعاتی سایبری.
ارزیابی اجرایی
این دوره گزارش‌دهی چهار توسعه با اهمیت فوری اطلاعاتی را به همراه داشت.
فعالیت سایبری وزارت اطلاعات و امنیت ایران اکنون به طور فشرده‌تری به ضد اطلاعات و سرکوب در دنیای واقعی متصل شده است. یک افشای مشترک از سوی بریتانیا، ایالات متحده و هلند در تاریخ 15 سپتامبر، CHOSEN BRICK را فاش کرد، در حالی که یک انتشار فنی موازی از FBI به طور قابل توجهی تحلیل اکوسیستم بدافزار HEAVYGRAM مرتبط را گسترش داد. این کمپین‌ها هدف dissidents، روزنامه‌نگاران، فعالان و دیگر مخالفان تصور شده دولت ایران را قرار می‌دهند. جمع‌آوری شامل ارتباطات، تماس‌ها، ایمیل، اسکرین‌شات‌ها، صدای میکروفن، اطلاعات مکان/الگوی زندگی و داده‌های رسانه‌های اجتماعی است. این نهادها به صراحت اشاره می‌کنند که اطلاعات ایران قبلاً طرح‌هایی برای آدم‌ربایی و عملیات‌های کشنده علیه دشمنان تصور شده در خارج از کشور طراحی کرده است. (FBI)
فاموس‌اسپررو، که به چین وابسته است، تقریباً 90 درصد از هدف‌گیری‌های اخیر خود را بر روی آمریکای لاتین متمرکز کرده و SparrowDoor را با یک ایمپلنت به طور قابل توجهی بازطراحی شده، SparroWocky، جایگزین کرده است. نهادهای دولتی در آرژانتین، اکوادور، گواتمالا، هندوراس، پاناما، پرو، پورتوریکو و ونزوئلا تحت تأثیر قرار گرفتند. تمرکز جغرافیایی برای این بازیگر غیرمعمول است و به احتمال زیاد نیازهای اطلاعاتی رو به رشد پکن در مورد رقابت سیاسی و اقتصادی ایالات متحده در این منطقه را منعکس می‌کند. (ESET)
اکوسیستم مصاحبه مسری کره شمالی به طور رسمی توسط چهار دولت نسبت داده و کمی‌سازی شده است. مشاوره چندملیتی 18 سپتامبر این بازیگر را به عنوان WaterPlum شناسایی می‌کند، بیش از 30,000 رایانه آسیب‌دیده در بیش از 100 کشور گزارش می‌دهد و کمپین را به سرقت یا آسیب‌پذیری شامل بیش از 7,000 کیف پول رمزنگاری متصل می‌کند. این عملیات فراتر از سرقت ارزهای دیجیتال اهمیت دارد زیرا آسیب‌پذیری توسعه‌دهنده می‌تواند اعتبارنامه‌های شرکتی، کد منبع، محیط‌های ابری و مالکیت معنوی را افشا کند. (Cyber.gov.au)
دو آسیب‌پذیری فعال در زیرساخت‌های امنیتی نیاز به توجه فوری دفاعی دارند، هرچند که هیچ‌یک در حال حاضر نسبت به یک دولت ملی قابل دفاع نیستند. CVE-2026-76461 اجازه اجرای دستورات سطح ریشه غیرمجاز را در برابر Cisco Secure Email Gateway تنها از طریق پردازش ایمیل مخرب می‌دهد. CVE-2026-76460 اجازه دور زدن غیرمجاز احراز هویت Cisco Identity Services Engine را می‌دهد. هر دو بر روی سیستم‌هایی که در مرزهای اعتماد غیرمعمول حساس قرار دارند تأثیر می‌گذارند. (Cisco)
روند اطلاعاتی گسترده‌تر این هفته به شرح زیر است:
عملیات سایبری دولتی به طور فزاینده‌ای از مرز بین زندگی شخصی هدف و حریم امنیتی نهادی آن بهره‌برداری می‌کنند.
ایران پس از اینکه دفاع‌های شرکتی مداخله می‌کنند، به دستگاه‌های شخصی هدف می‌زند. کره شمالی به توسعه‌دهندگان به عنوان جویندگان کار خصوصی نزدیک می‌شود. جاسوسی چینی به طور فزاینده‌ای زیرساخت‌های دولتی را در مناطقی که نیازهای اطلاعاتی سیاسی و تجاری همپوشانی دارند، هدف قرار می‌دهد. در عین حال، بهره‌برداری فعال به طور مستقیم علیه زیرساخت‌های امنیت هویت و ایمیل در حال حرکت است.
ایران: CHOSEN BRICK / HEAVYGRAM و هدف‌گیری فرامرزی MOIS
اولویت: بحرانی
بازیگر: بازیگران سایبری دولتی ایران که برای وزارت اطلاعات و امنیت فعالیت می‌کنند
بدافزار: اکوسیستم CHOSEN BRICK / HEAVYGRAM
هدف: ضد اطلاعات، نظارت، سرقت داده، آزار و اذیت، احتمالاً حمایت از هدف‌گیری فیزیکی
اعتماد به نسبت‌گذاری: بالا
در تاریخ 15 سپتامبر، مرکز امنیت سایبری ملی بریتانیا، FBI و AIVD هلند به طور مشترک جزئیات فنی مربوط به CHOSEN BRICK، بدافزاری که توسط بازیگران دولتی ایران علیه dissidents، فعالان و روزنامه‌نگاران در بریتانیا، ایالات متحده، هلند و جاهای دیگر استفاده می‌شود، فاش کردند. NCSC می‌گوید که این بدافزار از حداقل سال 2025 استفاده شده است؛ تحقیقات گسترده‌تر HEAVYGRAM از FBI فعالیت‌های مرتبط را به پاییز 2023 پیوند می‌زند. (FBI)
اهمیت اطلاعاتی فراتر از جاسوسی سایبری متعارف است. NCSC بیان می‌کند که اطلاعات جمع‌آوری شده می‌تواند تماس‌ها، مکان و الگوی زندگی را افشا کند. برخی از اطلاعات شخصی دزدیده شده بعداً در سایت‌های افشای طرفدار ایران ظاهر شد. مشاوره همچنین اشاره می‌کند که اطلاعات ایران قبلاً طرح‌هایی برای آدم‌ربایی یا عملیات‌های کشنده علیه دشمنان تصور شده رژیم در خارج از کشور طراحی کرده است. (FBI)
این یک زنجیره بالقوه ایجاد می‌کند:
آخرین مراحل برای هر قربانی CHOSEN BRICK نشان داده نشده است، اما کاربرد اطلاعاتی واضح است.
هشدارهای سایبری FBI
دسترسی اولیه و مهندسی اجتماعی
اپراتورها قبل از درگیری تحقیقات هدف‌گیری قابل توجهی انجام می‌دهند.
تماس اولیه از طریق:
تلگرام.
واتساپ.
سایر پلتفرم‌های پیام‌رسان/اجتماعی.
بازیگر خود را به عنوان آشنایان، سازمان‌ها یا پرسنل پشتیبانی فنی قابل اعتماد جا می‌زند و قبل از ارائه بار مخرب، رابطه برقرار می‌کند.
پوشش‌های مشاهده شده شامل:
Pictory.
RunwayML.
Norton Antivirus.
تلگرام.
Adobe Flash Player.
KeePass.
نتایج ساختگی اسکن MRI.
یک رفتار عملیاتی به خصوص مهم، مهاجرت مرز امنیتی است. زمانی که تحویل به یک دستگاه شرکتی ناکام می‌ماند یا به نظر می‌رسد که احتمال تشخیص را به وجود می‌آورد، اپراتور سعی می‌کند قربانی را متقاعد کند که فعالیت را به یک رایانه شخصی منتقل کند. این اجازه می‌دهد تا از معماری امنیتی شرکتی از طریق مهندسی اجتماعی دور زده شود.
پایداری و فرار از دفاع
CHOSEN BRICK معمولاً از طریق:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
پایداری می‌یابد.
مقادیر مشاهده شده شامل:
SMQDService
winappx
این ایمپلنت همچنین می‌تواند استثنائات را به Microsoft Defender اضافه کند.
Mutexهای مشاهده شده شامل:
ytyjyujyu
noi672pp434awkc12f
FBI دستورات PowerShell را مشاهده کرد که شامل:
Add-MpPreference -ExclusionPath
دور زدن در برابر دایرکتوری‌های بدافزار و حتی دایرکتوری دانلود تلگرام دسکتاپ قربانی.
فرمان و کنترل
CHOSEN BRICK از طریق ربات‌های تلگرام ارتباط برقرار می‌کند.
مهم‌تر از همه، هر دستگاه آلوده یک شناسه ربات تلگرام متفاوت دریافت می‌کند. این طراحی همبستگی زیرساخت را محدود می‌کند.