Agências de segurança cibernética dos Estados Unidos, Reino Unido e Holanda divulgaram detalhes de um malware para Windows que, segundo as autoridades, é utilizado por agentes ligados à inteligência iraniana para espionar dissidentes, jornalistas e ativistas em diferentes países.
A ameaça chama atenção por utilizar o Telegram como parte de sua infraestrutura de comando e controle. Depois de infectar o computador, os operadores podem capturar telas, acessar mensagens e emails, roubar credenciais e até ativar o microfone para gravar o ambiente da vítima.
O FBI identifica o malware como HEAVYGRAM, enquanto o National Cyber Security Centre, o NCSC britânico, utiliza o nome CHOSEN BRICK.
O alerta conjunto foi publicado em 15 de setembro pelo NCSC, FBI e pelo serviço de inteligência holandês AIVD. O FBI também atualizou sua análise técnica sobre a campanha, inicialmente detalhada em março de 2026, incluindo novos indicadores de comprometimento.
Segundo as autoridades americanas, a operação está associada ao Ministério da Inteligência e Segurança do Irã, o MOIS, e teria começado ainda em 2023. O alerta afirma que variantes do CHOSEN BRICK são utilizadas internacionalmente desde pelo menos 2025.
Jornalistas e ativistas estão entre os principais alvos
Os principais alvos identificados são dissidentes iranianos, jornalistas críticos ao governo do Irã, ativistas e integrantes de organizações consideradas de interesse pela inteligência iraniana.
Casos foram registrados no Reino Unido, Estados Unidos e Holanda, além de outros países. O FBI alerta, porém, que outras pessoas consideradas relevantes pelas autoridades iranianas também podem se tornar alvos.
O risco não termina no roubo de arquivos. Capturas de tela, conversas e outros dados coletados podem revelar contatos, localização e detalhes da rotina das vítimas.
Segundo o alerta, informações pessoais roubadas em algumas dessas operações posteriormente apareceram em sites favoráveis ao Irã, aumentando inclusive os riscos à segurança física das pessoas afetadas.
Em março, o Departamento de Justiça dos Estados Unidos anunciou a apreensão de quatro domínios que, segundo as autoridades americanas, eram utilizados para publicar informações roubadas e ameaçar dissidentes, jornalistas e outros alvos.
As agências avaliam que esse tipo de operação cibernética faz parte de esforços iranianos para monitorar pessoas consideradas uma ameaça ao governo. As conclusões apresentadas são avaliações das autoridades envolvidas e não decisões judiciais sobre a atribuição da campanha.
O ataque começa com uma mensagem
A invasão geralmente depende de engenharia social. Os operadores entram em contato com a vítima fingindo ser alguém conhecido ou até integrantes do suporte técnico de algum serviço. Depois de conquistar confiança, enviam um arquivo apresentado como um programa legítimo.
Entre os disfarces já encontrados estão aplicativos e serviços conhecidos como Pictory, KeePass, Telegram, RunwayML e Norton Antivirus. Algumas amostras também foram apresentadas como Adobe Flash Player e, em casos mais incomuns, até como resultados de exames de ressonância magnética.
Os criminosos podem inicialmente tentar comprometer o computador profissional da vítima. Quando as proteções corporativas dificultam o ataque, a abordagem pode ser direcionada ao dispositivo pessoal.
Ao abrir o arquivo, a vítima visualiza uma interface aparentemente legítima enquanto o malware é instalado silenciosamente em segundo plano.
Até agora, todas as versões identificadas pelas autoridades funcionam exclusivamente no Windows.
Telegram vira ferramenta de controle
Depois da instalação, o malware conecta o computador infectado a um bot do Telegram utilizado pelos operadores para enviar comandos e receber informações roubadas.
Cada dispositivo pode receber seu próprio bot, separando a atividade de diferentes vítimas.
Para continuar funcionando depois que o Windows é reiniciado, o malware cria entradas na chave “Run” do Registro do sistema. Dessa forma, ele volta a ser executado sempre que o usuário entra na conta.
A ameaça também pode configurar exclusões no Microsoft Defender para evitar que determinados diretórios sejam examinados pelo antivírus.
Uma vez ativo, o malware permite listar programas em execução, capturar a tela, ativar o microfone, coletar informações do Telegram e WhatsApp armazenadas no navegador e roubar senhas e endereços de email.
Também pode baixar outras ameaças e excluir arquivos. Segundo o alerta conjunto, pelo menos uma variante possui capacidade para apagar dados do computador.
Os arquivos roubados podem ser enviados pelo próprio Telegram ou por serviços de armazenamento em nuvem. Versões mais recentes ainda utilizam servidores proxy para dificultar a identificação do tráfego.
Até o momento, não há indicação de que o malware consiga se espalhar automaticamente de um computador para outro dentro de uma rede.
Como identificar uma possível infecção
As autoridades divulgaram alguns indicadores que podem ajudar equipes de segurança e usuários sob risco a identificar computadores comprometidos.
Entre eles estão entradas chamadas SMQDService ou winappx na chave “Run” do Registro do Windows.
Outro detalhe curioso é a criação do diretório “C:\Windows \SysWOW64”, com um espaço adicional depois de “Windows”. O caminho pode ser utilizado para armazenar componentes da ameaça.
Conexões inesperadas com serviços relacionados ao Telegram, Vultr, Storj, Backblaze e provedores de proxy também aparecem entre os indicadores divulgados.
Isso não significa que uma conexão com esses serviços seja automaticamente maliciosa. São plataformas legítimas que podem ser utilizadas normalmente por usuários e empresas.
As próprias autoridades alertam que nomes de arquivos, diretórios e outros elementos podem mudar conforme o malware evolui.
Como se proteger
A principal recomendação continua sendo evitar arquivos recebidos por mensagens ou links desconhecidos, principalmente quando envolvem programas que poderiam ser baixados diretamente do site oficial do desenvolvedor.
Manter Windows, aplicativos e antivírus atualizados também reduz a superfície de ataque. Alertas apresentados pelo Microsoft SmartScreen não devem ser ignorados simplesmente porque o arquivo parece legítimo.
Para empresas, as autoridades recomendam autenticação multifator resistente a phishing, controle dos aplicativos permitidos nos dispositivos e monitoramento de computadores e tráfego da rede.
Quem suspeitar de uma infecção deve procurar os indicadores divulgados pelas autoridades, comunicar a equipe responsável pela segurança e considerar o comprometimento de credenciais e informações acessadas naquele computador.
O caso também reforça um detalhe menos sofisticado do que toda a infraestrutura utilizada pelos operadores: mesmo uma campanha de espionagem apoiada por malware, bots, proxies e serviços em nuvem ainda pode começar com algo extremamente simples. Uma mensagem convincente e um arquivo que alguém decidiu abrir.
