Период отчетности: 14–21 сентября 2026 года
Крайний срок оценки: 21 сентября 2026 года
Область: Государственные и государственно-ориентированные киберактивности, кампании APT, техническая разведка, активная эксплуатация, риски для критической инфраструктуры и кибернетическая разведывательная деятельность.
Исполнительная оценка
В этот период отчетности произошло четыре события, имеющих непосредственное значение для разведки.
Киберактивность Ирана от министерства разведки и безопасности (MOIS) теперь более тесно связана с контрразведкой и репрессиями в физическом мире. Совместное раскрытие информации Великобритании, США и Нидерландов 15 сентября раскрыло CHOSEN BRICK, в то время как параллельный технический релиз ФБР значительно расширил анализ связанной экосистемы вредоносного ПО HEAVYGRAM. Кампании нацелены на диссидентов, журналистов, активистов и других воспринимаемых противников иранского правительства. Сбор включает в себя коммуникации, контакты, электронные письма, скриншоты, аудио с микрофонов, информацию о местоположении/образе жизни и данные из социальных сетей. Агентства явно отмечают, что иранская разведка ранее планировала похищения и летальные операции против воспринимаемых врагов за границей. (ФБР)
Согласованная с Китаем группа FamousSparrow сосредоточила примерно 90% своих недавних наблюдений на Латинской Америке и заменила SparrowDoor на существенно переработанный имплант SparroWocky. Государственные структуры в Аргентине, Эквадоре, Гватемале, Гондурасе, Панаме, Перу, Пуэрто-Рико и Венесуэле были затронуты. Географическая концентрация необычна для этого актора и, вероятно, отражает растущие разведывательные требования Пекина в отношении политической и экономической конкуренции США в регионе. (ESET)
Экосистема Contagious Interview Северной Кореи была формально атрибутирована и количественно оценена четырьмя государствами. Многостороннее уведомление от 18 сентября идентифицирует актера как WaterPlum, сообщает о как минимум 30,000 скомпрометированных ПК в более чем 100 странах и связывает кампанию с кражей или компрометацией более 7,000 криптовалютных кошельков. Операция важна не только из-за кражи криптовалюты, поскольку компрометация разработчиков может раскрыть учетные данные предприятий, исходный код, облачные среды и интеллектуальную собственность. (Cyber.gov.au)
Две активно эксплуатируемые уязвимости в инфраструктуре безопасности требуют немедленного защитного внимания, хотя ни одна из них в настоящее время не имеет защищенной атрибуции на уровне государства. CVE-2026-76461 позволяет неаутентифицированное выполнение команд с правами root против Cisco Secure Email Gateway просто через обработку вредоносных электронных писем. CVE-2026-76460 позволяет неаутентифицированный обход аутентификации Cisco Identity Services Engine. Обе уязвимости затрагивают системы, находящиеся на необычно чувствительных границах доверия. (Cisco)
Широкая тенденция разведки на этой неделе такова:
Государственные киберактивности все чаще используют границу между личной жизнью цели и ее институциональным периметром безопасности.
Иран нацеливается на личные устройства после того, как корпоративные защиты мешают. Северная Корея обращается к разработчикам как к частным соискателям. Китайская шпионская деятельность все больше нацелена на государственную инфраструктуру в регионах, где пересекаются политические и коммерческие разведывательные требования. В то же время активная эксплуатация движется непосредственно против инфраструктуры безопасности идентификации и электронной почты.
Иран: CHOSEN BRICK / HEAVYGRAM и транснациональное нацеливание MOIS
Приоритет: КРИТИЧЕСКИЙ
Актор: Иранские государственные киберактивисты, действующие от имени Министерства разведки и безопасности
Вредоносное ПО: экосистема CHOSEN BRICK / HEAVYGRAM
Цель: Контрразведка, наблюдение, кража данных, преследование, потенциальная поддержка физического нацеливания
Уровень уверенности в атрибуции: Высокий
15 сентября Центр кибербезопасности Великобритании, ФБР и Нидерланды AIVD совместно раскрыли технические детали, касающиеся CHOSEN BRICK, вредоносного ПО, используемого иранскими государственными актерами против диссидентов, активистов и журналистов в Великобритании, США, Нидерландах и других местах. NCSC сообщает, что вредоносное ПО использовалось как минимум с 2025 года; более широкое расследование ФБР по HEAVYGRAM прослеживает связанную активность до осени 2023 года. (ФБР)
Разведывательное значение превышает традиционный кибершпионаж. NCSC заявляет, что собранная информация может раскрыть контакты, местоположение и образ жизни. Некоторые украденные личные данные впоследствии появились на про-иранских сайтах утечек. Уведомление также отмечает, что иранская разведка ранее планировала похищения или летальные операции против воспринимаемых врагов режима за границей. (ФБР)
Это создает потенциальную цепь:
Последние стадии не продемонстрированы для каждой жертвы CHOSEN BRICK, но разведывательная полезность очевидна.
Киберуведомления ФБР
Первоначальный доступ и социальная инженерия
Операторы проводят значительное исследование цели перед взаимодействием.
Первоначальный контакт происходит через:
Telegram.
WhatsApp.
Другие мессенджеры/социальные платформы.
Актор выдает себя за доверенных знакомых, организации или технический персонал поддержки и развивает доверительные отношения перед доставкой вредоносного кода.
Наблюдаемые маскировки включают:
Pictory.
RunwayML.
Norton Antivirus.
Telegram.
Adobe Flash Player.
KeePass.
Поддельные результаты МРТ.
Одно особенно важное операционное поведение — это миграция через границы безопасности. Когда доставка на корпоративное устройство терпит неудачу или, по-видимому, может вызвать обнаружение, оператор пытается убедить жертву перенести активность на личный компьютер. Это позволяет обойти архитектуру корпоративной безопасности через социальную инженерию.
Устойчивость и уклонение от защиты
CHOSEN BRICK обычно сохраняется через:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Наблюдаемые значения включают:
SMQDService
winappx
Имплант также может добавлять исключения в Microsoft Defender.
Наблюдаемые мьютексы включают:
ytyjyujyu
noi672pp434awkc12f
ФБР наблюдало команды PowerShell, вызывающие:
Add-MpPreference -ExclusionPath
обходя директории вредоносного ПО и даже директорию загрузки Telegram Desktop жертвы.
Команда и контроль
CHOSEN BRICK общается с помощью ботов Telegram.
Более того, каждая зараженная машина получает уникальный идентификатор бота Telegram. Этот дизайн ограничивает корреляцию инфраструктуры.