El FBI, el Centro Nacional de Ciberseguridad británico (NCSC) y la agencia neerlandesa AIVD han lanzado una alerta conjunta sobre Chosen Brick, un malware que actores estatales iraníes distribuyen a través de WhatsApp y Telegram para infectar equipos Windows. La herramienta roba comunicaciones, captura pantallas y mantiene acceso persistente en los dispositivos de disidentes, periodistas y activistas.
La campaña, activa al menos desde 2025, combina una investigación previa de cada objetivo con mensajes diseñados para parecer conversaciones legítimas. El aviso conjunto de las tres agencias señala que los operadores iraníes buscan extraer información que también sirve para rastrear los movimientos de sus víctimas, seleccionadas entre disidentes, activistas y periodistas considerados una amenaza para el régimen. El riesgo, explican, no depende de una vulnerabilidad técnica de Windows, sino de la capacidad de los atacantes para fabricar un contexto creíble para la persona contactada.
Cómo logran que la víctima abra el archivo infectado
El ataque empieza mucho antes de enviar cualquier fichero. Los operadores estudian a la víctima, su círculo de contactos y las organizaciones vinculadas a su entorno, de modo que el primer mensaje parezca proceder de alguien conocido. Esa preparación previa reduce las sospechas habituales ante un remitente desconocido y facilita que la persona acepte abrir un archivo que, en realidad, contiene el malware.
Los señuelos identificados imitan aplicaciones que cualquiera de vosotros podría reconocer sin dificultad: Telegram, Norton Antivirus, Pictory, RunwayML, Adobe Flash Player y KeePass. Esa selección aprovecha marcas conocidas y necesidades habituales, desde la seguridad del equipo hasta la edición de contenido audiovisual. Al ejecutarse, el archivo instala Chosen Brick sin mostrar actividad visible en pantalla, y el programa queda anclado en nuestro sistema añadiendo una entrada en el registro de Windows que le permite arrancar de nuevo tras cada reinicio del equipo.
Qué información roba y cómo evita a Microsoft Defender
Una vez dentro, Chosen Brick modifica las exclusiones de Microsoft Defender para reducir las posibilidades de que el antivirus lo detecte. Para comunicarse con sus operadores recurre a Telegram, donde cada víctima tiene asignado un bot propio que sirve de canal para enviar instrucciones y recibir los datos robados, sin necesidad de una infraestructura de mando visible.
El malware puede enumerar los procesos en ejecución, recopilar información del sistema, capturar el contenido de la pantalla y grabar audio del entorno una vez instalado en nuestro equipo. También busca correos electrónicos y los mensajes de Telegram y WhatsApp guardados en los navegadores, y es capaz de descargar cargas útiles adicionales utilizando la misma clave del registro que emplea para persistir: HKCU/Software/Microsoft/Windows/CurrentVersion/Run. Las tres agencias no han detectado automatización en el movimiento lateral dentro de redes, aunque consideran que resulta técnicamente posible. Chosen Brick incluye además una función para borrar por completo el sistema, lo que eleva el riesgo desde el espionaje hasta la destrucción de datos.
Por qué el aviso también afecta a Windows
El comunicado insiste en que los objetivos no se limitan a los equipos corporativos, ya que Chosen Brick también ataca nuestros dispositivos personales, aquellos que quedan fuera del control de los departamentos de tecnología de cualquier organización. Por eso las agencias piden a las empresas que informen a sus trabajadores cuando puedan convertirse en blanco de la campaña y les ayuden a revisar sus propios ordenadores, aunque esos equipos no estén administrados directamente por el departamento de sistemas.
Las autoridades recomiendan que cualquier organización que sospeche una infección contacte con sus proveedores de tecnología, propios o externos, para investigar el incidente. La revisión debería fijarse en los programas instalados recientemente, los mensajes recibidos desde cuentas conocidas, las exclusiones configuradas en Microsoft Defender y las entradas de persistencia en el registro del sistema, los mismos rastros que documenta el aviso conjunto de las tres agencias.
Si alguno de vosotros sospecha que ha recibido uno de estos archivos disfrazados de aplicación legítima, conviene revisar con calma qué programas se han instalado en los últimos días, si hay mensajes de contactos habituales con adjuntos que no esperabais y si Microsoft Defender muestra exclusiones que nosotros no hemos configurado. Esa comprobación, sencilla pero minuciosa, es la misma que las agencias piden aplicar tanto en equipos corporativos como en los ordenadores personales de cualquier trabajador expuesto.