Agencias de ciberseguridad de EE. UU., Reino Unido y Países Bajos detectaron un malware de Windows usado por la inteligencia de Irán para espiar a disidentes y periodistas. El software, controlado mediante Telegram, puede robar correos, capturar pantallas y activar el micrófono para grabar audio. Los ataques suelen iniciar con archivos falsos que suplantan aplicaciones legítimas para comprometer los dispositivos de las víctimas.

Agencias de ciberseguridad de Estados Unidos, el Reino Unido y los Países Bajos han detallado un malware de Windows que, según afirman, el servicio de inteligencia de Irán utiliza para espiar a disidentes, periodistas y activistas en todo el mundo.

El malware se controla a través de la aplicación de mensajería Telegram y puede copiar los correos electrónicos y mensajes de chat de un objetivo, tomar capturas de pantalla y activar el micrófono para grabar audio.

El FBI lo llama HEAVYGRAM, y el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido lo denomina CHOSEN BRICK.

La advertencia conjunta https://www.ic3.gov/CSA/2026/260915-2.pdf fue publicada el 15 de septiembre por el NCSC, el FBI y el servicio de inteligencia de los Países Bajos, el AIVD. El FBI también publicó un análisis actualizado https://www.ic3.gov/CSA/2026/260915.pdf del malware que amplía una alerta de marzo de 2026 https://www.fbi.gov/investigate/cyber/alerts/2026/government-of-iran-cyber-actors-deploy-telegram-c2-to-push-malware-to-identified-targets, la primera en describir la campaña, con más detalles técnicos y nuevos indicadores de compromiso.

El FBI atribuye el malware al Ministerio de Inteligencia y Seguridad de Irán (MOIS), la principal agencia de inteligencia del país, y sitúa la campaña más amplia en el otoño de 2023. La advertencia indica que CHOSEN BRICK ha sido utilizado contra personas en el Reino Unido, EE. UU., los Países Bajos y en todo el mundo desde al menos 2025.

Los objetivos son principalmente disidentes iraníes, periodistas opuestos a Irán, activistas y miembros de grupos cuyas opiniones chocan con el gobierno, según las agencias. Pero el FBI ha advertido que cualquiera que Irán considere de interés podría ser un objetivo.

Las agencias afirman que el peligro va más allá de los datos robados. Las capturas de pantalla y otra información recopilada pueden mostrar los contactos, la ubicación y la rutina diaria de un objetivo. Los datos personales de algunas víctimas han aparecido en sitios de filtraciones pro-iraníes, lo que según la advertencia puede aumentar el riesgo para su seguridad.

En marzo, el Departamento de Justicia de EE. UU. incautó cuatro de estos sitios de filtraciones iraníes https://www.justice.gov/opa/pr/justice-department-disrupts-iranian-cyber-enabled-psychological-operations, que según indicaron habían sido utilizados para publicar datos robados y para pedir el asesinato de disidentes, periodistas y otras personas.

Irán utiliza casi con seguridad este tipo de actividad cibernética para ayudar a reprimir a quienes considera una amenaza, afirman las agencias. En algunos casos, añaden, sus servicios de inteligencia han planeado secuestrar o matar a tales personas en el extranjero.

Cómo funciona el ataque

El ataque comienza con un mensaje. Los atacantes se hacen pasar por alguien que el objetivo conoce o por soporte técnico de una aplicación de mensajería, generando confianza antes de enviar un archivo que parece ser un programa legítimo, explican las agencias.

Los atacantes suelen empezar por el ordenador del trabajo del objetivo. Si eso no funciona, intentan pasar a un dispositivo personal, que no está protegido por la seguridad de la empresa.

Entre los disfraces reportados se incluyen la aplicación de vídeo IA Pictory, el gestor de contraseñas KeePass, el propio Telegram, RunwayML, Norton Antivirus y Adobe Flash Player. En algunos casos, el archivo fue diseñado para parecer resultados de una resonancia magnética.

Cuando abres el archivo, aparece una pantalla falsa convincente mientras el malware real se instala en segundo plano. Una primera etapa se hace pasar por la aplicación y una segunda etapa conecta el ordenador a un bot de Telegram que los atacantes usan para controlarlo y recopilar los datos robados. Todas las versiones vistas hasta ahora funcionan solo en Windows.

Para sobrevivir a un reinicio, el malware se añade a una clave "Run" del registro de Windows, para que se inicie de nuevo cada vez que inicies sesión. También indica a Microsoft Defender, el antivirus integrado, que omita ciertas carpetas para que sus archivos no sean analizados.

A cada ordenador infectado se le asigna su propio bot de Telegram, lo que según las agencias evita que la actividad de una víctima se mezcle con la de otra.

Una vez en funcionamiento, se puede ordenar al malware que haga muchas cosas: listar programas en ejecución, tomar capturas de pantalla, encender el micrófono, copiar datos de Telegram y WhatsApp del navegador, robar contraseñas guardadas y direcciones de correo electrónico, descargar malware adicional y eliminar archivos. Al menos una versión también puede borrar el ordenador, según la advertencia conjunta.

Las agencias afirman que no se ha visto que el malware se propague por una red por sí solo, aunque puede descargar más herramientas. Los archivos robados salen del ordenador a través del bot de Telegram y mediante servicios de almacenamiento en la nube como Vultr y Storj. Las versiones más recientes envían su tráfico de Telegram a través de servidores proxy para ocultarlo, indica la advertencia.

Señales que debes buscar

Las advertencias enumeran señales que los defensores y usuarios en riesgo pueden comprobar, incluyendo:

* Clave de registro: una entrada en la clave "Run" llamada SMQDService o winappx, añadida para que el malware se inicie al iniciar sesión.
* Ruta de archivo: una carpeta con un espacio añadido, C:\Windows \SysWOW64, donde el malware deposita archivos adicionales.
* Red: conexiones inesperadas a servicios legítimos, incluyendo api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com y lightningproxies.net.
* Mutex: marcadores de nombre que el malware establece para evitar ejecutarse dos veces, como ytyjyujyu y noi672pp434awkc12f.

El análisis del FBI y la advertencia conjunta contienen la lista completa, incluidos los hashes de los archivos. Las agencias advierten que los nombres de archivos y carpetas del malware pueden cambiar, por lo que estas señales no deben considerarse las únicas a las que prestar atención.

Cómo protegerte

Para reducir el riesgo, las agencias recomiendan que hagas lo siguiente:

* No abras archivos enviados a través de mensajes o enlaces, y descarga software solo desde sitios web oficiales o tiendas de aplicaciones.
* Mantén el sistema operativo y todas las aplicaciones actualizadas, idealmente con actualizaciones automáticas.
* Ejecuta un software antivirus y mantenlo encendido y actualizado.
* No ignores las advertencias de SmartScreen al descargar archivos.

Aconsejan a los administradores de red:

* Activar la autenticación multifactor resistente al phishing.
* Utilizar listas blancas de aplicaciones y controles de dispositivos gestionados.
* Usar las herramientas de escaneo y seguridad que ofrece su proveedor de correo electrónico.
* Monitorizar los ordenadores y el tráfico de red, y buscar en los registros los indicadores mencionados anteriormente.

Cualquiera que sospeche de una infección debe comprobar la clave "Run" descrita anteriormente, avisar a su soporte técnico e informarlo a su agencia nacional de ciberseguridad. Las advertencias no indican si la simple eliminación del malware soluciona la vulneración.

Cuando el FBI advirtió por primera vez sobre la campaña en marzo, Telegram dijo a TechCrunch que sus moderadores "eliminan rutinariamente cualquier cuenta que se descubra involucrada con malware". Las agencias presentan sus conclusiones como evaluaciones más que como asuntos resueltos en un tribunal.

Fuente:
THN