¿Un "viejo amigo" te escribió por Telegram? Podría ser la inteligencia iraní.

Un mensaje de una persona con la que lleva mucho tiempo en contacto ya no garantiza una comunicación segura. El NCSC del Reino Unido, el FBI de EE. UU. y el servicio de inteligencia de los Países Bajos AIVD revelaron una campaña en la que operadores vinculados a Irán se hacen pasar por conocidos y por personal de soporte en Telegram y WhatsApp para infectar los ordenadores de periodistas, activistas y disidentes con el software espía CHOSEN BRICK.

Antes del ataque los atacantes investigan detalladamente a la persona y no se apresuran a enviar un archivo malicioso. Primero la persona con la que conversan mantiene una charla normal y genera confianza, y luego usan un pretexto preparado. Ese phishing dirigido permite ajustar el cebo al trabajo, a los intereses y a las circunstancias de la víctima concreta. En ataques reales los archivos se disfrazaron de Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass e incluso de resultados de resonancia magnética.

Tras la ejecución, el usuario ve una ventana verosímil que coincide con la leyenda, pero en segundo plano se instala CHOSEN BRICK. El software malicioso funciona solo en Windows, se fija mediante claves de inicio automático del registro, añade excepciones en Microsoft Defender y persiste tras el reinicio. Una campaña similar del Ministerio de Inteligencia y Seguridad de Irán, donde Telegram controlaba el software malicioso, fue revelada por el FBI ya en marzo.

A cada dispositivo infectado los operadores asignan un bot de Telegram individual para comandos y control. CHOSEN BRICK puede capturar la pantalla, activar el micrófono, robar correos, obtener datos de Telegram y WhatsApp desde navegadores, descargar archivos adicionales y borrar información. En una de las muestras analizadas se detectó una función de borrado total de datos. Para extraer la información robada se usan Telegram, VultrObjects y StorjShare, y las nuevas variantes ocultan parte del tráfico mediante proxies HTTPS y SOCKS5.

El objetivo del espionaje no se limita al contenido del ordenador. Las capturas de pantalla, las conversaciones, los contactos y los correos permiten reconstruir el círculo de relaciones, la ubicación y la rutina habitual de la persona. Los datos de algunas víctimas aparecieron después en sitios proiraníes con filtraciones. La presión sobre el personal de medios es especialmente notable: en agosto se detectaron intentos similares de atacar a periodistas a través de Telegram y WhatsApp en Israel.

En advertencia conjunta del 15 de septiembre, NCSC, el FBI y AIVD vinculan la campaña con operadores cibernéticos estatales de Irán. NCSC valora con alta confianza que la actividad cibernética se utiliza para presionar a personas que las autoridades del país consideran una amenaza.

Para protegerse, las agencias recomiendan no instalar programas procedentes de archivos o enlaces recibidos, descargar software únicamente desde plataformas oficiales, actualizar el sistema con regularidad, no ignorar las advertencias de SmartScreen y usar una autenticación multifactor resistente al phishing. La embajada de Irán en Londres no había comentado las acusaciones al cierre de esta nota.

La relación entre la vigilancia digital y operaciones de inteligencia más amplias ya se había manifestado alrededor del grupo Handala. Analistas asociaron la infraestructura con la inteligencia iraní y describieron el uso de Telegram no solo para ciberataques, sino también para buscar a ejecutores, para la vigilancia y para otras operaciones fuera de la red.

La escala de las actividades de los grupos vinculados a Teherán va mucho más allá de un único software espía. En primavera los especialistas detectaron una infraestructura de ataques común vinculada a las marcas Homeland Justice, KarmaBelow80 y Handala, donde el robo de datos se combinaba con operaciones destructivas y con la posterior publicación de la información robada.