Agências de cibersegurança dos Estados Unidos, do Reino Unido e dos Países Baixos detalharam um malware para Windows que, segundo elas, é usado pelo serviço de inteligência do Irã para espionar dissidentes, jornalistas e ativistas em todo o mundo.
O malware é controlado pelo aplicativo de mensagens Telegram e pode copiar e-mails e mensagens de bate-papo da vítima, tirar capturas de tela e ativar o microfone para gravar áudio.
O FBI (Federal Bureau of Investigation, ou Escritório Federal de Investigação dos Estados Unidos) o chama de HEAVYGRAM, e o NCSC (National Cyber Security Center, ou Centro Nacional de Segurança Cibernética) do Reino Unido o chama de CHOSEN BRICK.
O alerta conjunto foi publicado em 15 de setembro pelo NCSC, pelo FBI e pelo serviço de inteligência dos Países Baixos, o AIVD (Algemene Inlichtingen- en Veiligheidsdienst, Serviço Geral de Inteligência e Segurança). O FBI também divulgou uma análise atualizada do malware que amplia um alerta de março de 2026, o primeiro a descrever a campanha, com mais detalhes técnicos e novos indicadores de comprometimento.
O FBI atribui o malware ao Ministério da Inteligência e Segurança do Irã (MOIS, na sigla em inglês), a principal agência de inteligência do país, e situa a campanha mais ampla no outono de 2023. O alerta afirma que o CHOSEN BRICK vem sendo usado contra pessoas no Reino Unido, nos Estados Unidos, nos Países Baixos e em todo o mundo desde pelo menos 2025.
Os alvos são principalmente dissidentes iranianos, jornalistas contrários ao regime, ativistas e membros de grupos cujas opiniões conflitam com o governo, segundo as agências. Mas o FBI alertou que qualquer pessoa que o Irã considere de interesse pode se tornar um alvo.
As agências afirmam que o perigo vai além do roubo de dados. Capturas de tela e outras informações coletadas podem revelar os contatos, a localização e a rotina diária da vítima. Os dados pessoais de algumas vítimas apareceram em sites de vazamentos pró-Irã, o que, segundo o alerta, pode aumentar o risco à segurança delas.
Em março, o Departamento de Justiça dos Estados Unidos apreendeu quatro desses sites de vazamentos iranianos, que, segundo ele, haviam sido usados para publicar dados roubados e para convocar o assassinato de dissidentes, jornalistas e outras pessoas.
As agências afirmam que o Irã muito provavelmente utiliza esse tipo de atividade cibernética para ajudar a reprimir quem considera uma ameaça. Em alguns casos, acrescentam, seus serviços de inteligência já chegaram a planejar sequestrar ou matar essas pessoas no exterior.
Como o ataque funciona
O ataque começa com uma mensagem. Os atacantes se passam por alguém que o alvo conhece ou por suporte técnico de um aplicativo de mensagens, construindo confiança antes de enviar um arquivo que parece ser um programa legítimo, segundo as agências.
Os atacantes geralmente começam pelo computador de trabalho do alvo, afirmam as agências. Se não obtêm sucesso, tentam migrar para um dispositivo pessoal, que não conta com a proteção de segurança da empresa.
Entre os disfarces relatados estão o aplicativo de vídeo com IA (inteligência artificial) Pictory, o gerenciador de senhas KeePass, o próprio Telegram, o RunwayML, o Norton Antivirus e o Adobe Flash Player. Em alguns casos, o arquivo foi feito para parecer um laudo de ressonância magnética.
Quando o alvo abre o arquivo, uma tela falsa bastante convincente é exibida enquanto o malware real é instalado em segundo plano. Um primeiro estágio se passa pelo aplicativo, e um segundo estágio conecta o computador a um bot do Telegram que os atacantes usam para controlá-lo e coletar os dados roubados. Todas as versões vistas até agora rodam apenas no Windows.
Para sobreviver a uma reinicialização, o malware se adiciona a uma chave "Run" (execução automática) do registro do Windows, de modo que é iniciado novamente toda vez que o usuário faz login. Ele também instrui o Microsoft Defender, o antivírus embutido do sistema, a ignorar determinadas pastas para que seus arquivos não sejam analisados.
Cada computador infectado recebe seu próprio bot do Telegram, o que, segundo as agências, evita que a atividade de uma vítima se misture com a de outra.
Uma vez em execução, o malware pode receber ordens para fazer diversas ações: listar programas em execução, tirar capturas de tela, ligar o microfone, copiar dados do Telegram e do WhatsApp a partir do navegador, roubar senhas salvas e endereços de e-mail, baixar malwares adicionais e apagar arquivos. Pelo menos uma versão também consegue apagar todo o conteúdo do computador, segundo o alerta conjunto.
As agências afirmam que o malware não foi visto se espalhando sozinho por uma rede, embora possa baixar mais ferramentas. Os arquivos roubados saem do computador pelo bot do Telegram e por serviços de armazenamento em nuvem, como Vultr e Storj. Versões mais recentes enviam seu tráfego do Telegram por servidores proxy para ocultá-lo, segundo o alerta.
Sinais a observar
Os alertas listam sinais que equipes de defesa e usuários em risco podem verificar, incluindo:
- Chave de registro: uma entrada na chave "Run" chamada SMQDService ou winappx, adicionada para que o malware seja iniciado no login.
- Caminho de arquivo: uma pasta com um espaço adicional, C:\Windows \SysWOW64, na qual o malware deposita arquivos extras.
- Rede: conexões inesperadas com serviços em si legítimos, incluindo api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com e lightningproxies.net.
- Mutex (mecanismo de exclusão mútua): marcadores de nome que o malware define para evitar rodar duas vezes, como ytyjyujyu e noi672pp434awkc12f.
A análise do FBI e o alerta conjunto contêm a lista completa, incluindo hashes (impressões digitais) de arquivos. As agências alertam que os nomes de arquivos e pastas do malware podem mudar, de modo que esses sinais não devem ser tratados como os únicos a serem monitorados.
Como se proteger
Para reduzir o risco, as agências recomendam que os usuários:
- Não abram arquivos enviados por mensagens ou links e baixem softwares apenas de sites oficiais ou lojas de aplicativos.
- Mantenham o sistema operacional e todos os aplicativos atualizados, de preferência com atualizações automáticas.
- Utilizem um antivírus e o mantenham ativado e atualizado.
- Não ignorem os avisos do SmartScreen (filtro de segurança do Windows) ao baixar arquivos.
As agências orientam os administradores de rede a:
- Ativarem autenticação multifator resistente a phishing (tentativas de fraude por engenharia social).
- Usarem listas de permissão de aplicativos e controles de dispositivos gerenciados.
- Utilizarem as ferramentas de varredura e segurança oferecidas pelo provedor de e-mail.
- Monitorarem computadores e tráfego de rede e buscarem nos logs (registros de eventos) os indicadores listados acima.
Quem suspeitar de uma infecção deve verificar a chave "Run" descrita acima, avisar o suporte de TI (Tecnologia da Informação) e denunciar à agência nacional de cibersegurança. Os alertas não informam se apenas a remoção do malware elimina o comprometimento.
Quando o FBI alertou pela primeira vez sobre a campanha, em março, o Telegram afirmou ao TechCrunch que seus moderadores "removem rotineiramente qualquer conta encontrada envolvida com malware". As agências apresentam suas conclusões como avaliações, e não como fatos definidos em juízo.
