وصدر هذا التحذير، الثلاثاء 15 سبتمبر (أيلول) عن المركز الوطني للأمن السيبراني في بريطانيا (NCSC)، ومكتب التحقيقات الفيدرالي الأميركي (FBI)، وجهاز الاستخبارات والأمن العام الهولندي (AIVD). وعرّف التحذير البرمجية الخبيثة المستخدمة في هذه الحملة باسم "تشوزن بريك" (CHOSEN BRICK).
ووفقًا للتقرير، يستعين المهاجمون بالهندسة الاجتماعية (مجموعة من الحيل والتقنيات المستخدمة لخداع الناس وجعلهم يقومون بعمل ما أو يفصحون عن معلومات سرية وشخصية). و"التصيد الاحتيالي الموجّه" عبر تطبيقات للمراسلة، من بينها "واتساب" و"تلغرام"، لكسب ثقة الضحية ودفعه إلى تنزيل ملفات مصابة وتشغيلها.
وبالتزامن مع نشر هذا التحذير المشترك، أعلن مكتب التحقيقات الفيدرالي الأميركي، في تقرير فني منفصل، أن جهات إلكترونية تابعة لوزارة الاستخبارات الإيرانية استخدمت برمجية خبيثة يطلق عليها هذا الجهاز اسم "هيفي غرام" (HEAVYGRAM)، لاستهداف معارضين إيرانيين وصحافيين منتقدين للنظام وجماعات معارضة أخرى في أنحاء العالم، وجمع معلومات عنهم.
القمع العابر للحدود والخطر على أمن الضحايا
جاء في التحذير المشترك أن النظام الإيراني "من شبه المؤكد" أنه يستخدم الأنشطة السيبرانية للمساعدة في قمع المعارضين والناشطين والصحافيين الذين يعتبرهم تهديدًا له.
ووضعَت الأجهزة الثلاثة هذه الأنشطة أيضًا في إطار أوسع للأجهزة الاستخباراتية الإيرانية، مذكّرة بأن طهران تآمرت في بعض الحالات لاختطاف أو تنفيذ عمليات قاتلة ضد أشخاص في الخارج تعتبرهم أعداء للنظام.
ووفقًا للتحذير، يمكن للمعلومات المسروقة من الضحايا أن تكشف مواقعهم واتصالاتهم وأنماط حياتهم، كما أن نشر المعلومات الشخصية لبعض الضحايا على مواقع إلكترونية داعمة للنظام الإيراني يمكن أن يزيد من المخاطر التي تهدد أمنهم الشخصي.
وقال مدير العمليات في المركز الوطني للأمن السيبراني البريطاني، بول تشيتشستر: "تُظهر تفاصيل هذه الحملة السيبرانية كيف تستخدم إيران بلا رحمة المراقبة الرقمية لتحقيق هدفها في قمع منتقدي النظام؛ إذ تسرق رسائل بريدهم الإلكتروني ورسائلهم وتصل إلى أجهزتهم".
ولم ترد السفارة الإيرانية في لندن على طلب وكالة "رويترز" التعليق على هذا التحذير والمحتوى الوارد فيه.
استهداف عالمي وتجاوز أنظمة الحماية
وفقًا للتحذير المشترك، استهدفت برمجية "تشوزن بريك" أشخاصًا في مناطق مختلفة من العالم، من بينها بريطانيا والولايات المتحدة وهولندا، منذ عام 2025 على الأقل.
وفي بعض الحالات، استهدف المهاجمون جهاز العمل الخاص بالضحية في البداية، وعندما فشلوا أو ارتفع خطر اكتشافهم، حاولوا إقناع الضحية بفتح الملف على جهازه الشخصي، لتجاوز أنظمة الحماية الأمنية التابعة للمؤسسة التي يعمل فيها.
كسب ثقة الضحية واستخدام ملفات وبرامج مزيفة
أعلن المركز الوطني للأمن السيبراني البريطاني أن المهاجمين غالبًا ما ينتحلون، عبر تطبيقات المراسلة، صفة أشخاص يثق بهم الضحايا، أو يقدمون أنفسهم باعتبارهم موظفين في الدعم الفني لإحدى الخدمات.
وبهذه الطريقة، وباستخدام المعلومات التي جمعوها مسبقًا عن الهدف، يحدد المهاجمون أسلوب الاقتراب من كل شخص بما يتناسب مع ظروفه، ثم يدفعون الضحية إلى تنزيل ملف يبدو موثوقًا.
وفي حالات مختلفة، قُدّمت هذه الملفات على هيئة نسخ تبدو أصلية من برامج مثل "تلغرام"، ومضاد الفيروسات "نورتون"، وبرنامج إدارة كلمات المرور "كي باس"، ومنصتي الذكاء الاصطناعي "بيكتوري" و"رَن واي إم إل"، وبرنامج "أدوبي فلاش بلاير".
وبحسب التحذير، استخدم المهاجمون في بعض الحالات ملفات زعموا أنها تحتوي على نتائج فحوصات التصوير بالرنين المغناطيسي للضحية. وبعد فتح هذا النوع من الملفات، تظهر للضحية صفحة مناسبة للمحتوى مع واجهة مزيفة، بينما تُثبّت البرمجية الخبيثة في الوقت نفسه في خلفية الجهاز.
وجميع العينات التي رُصدت في هذه الحملة استهدفت نظام التشغيل "ويندوز".
من التنصت على الميكروفون إلى محو البيانات بالكامل
وفقًا للتحذير المشترك، تستطيع "تشوزن بريك" بعد إصابة الجهاز التقاط صور للشاشة، وتفعيل الميكروفون لتسجيل الصوت، وسرقة بيانات "واتساب" و"تلغرام" الموجودة في المتصفح، ومحتوى رسائل البريد الإلكتروني، فضلاً عن تنزيل ملفات أو برمجيات خبيثة أخرى على الجهاز وتشغيلها.
كما تستطيع هذه البرمجية حذف الملفات، وفي بعض العينات، محو بيانات النظام. وقد صُممت "تشوزن بريك" للبقاء على الجهاز، فلا تختفي عند إعادة تشغيل نظام ويندوز.
ويمكن للبرمجية أيضًا، لتقليل احتمال اكتشافها، إنشاء استثناءات لبعض المسارات في نظام الحماية "مايكروسوفت ديفندر"، والاستعانة بـ "تلغرام" لتلقي الأوامر.
وأعلن المركز الوطني للأمن السيبراني البريطاني أن المعلومات الشخصية لبعض الضحايا السابقين لهذه البرمجية الخبيثة نُشرت لاحقًا على مواقع إلكترونية لتسريب المعلومات تدعم النظام الإيراني.
وقبل يوم واحد من نشر هذا التحذير المشترك، أعلنت وكالة أنباء "فارس"، التابعة للحرس الثوري، بدء نشاط "منظومة علاج للرصد والمعلومات"، بهدف "التعرف على" معارضي النظام الإيراني في الخارج و"متابعتهم".
وكتبت "فارس" أن هذه المنظومة ستوفر، من خلال "الرصد المستمر والذكي" للأفراد، أرضية لـ"المتابعة القانونية" و"تقييد الوصول المالي والإعلامي" لهم.
وكان موقع هذه المنظومة قد نشر في يومه الأول أسماء وصورًا ومعلومات شخصية لعدد من الإيرانيين المقيمين خارج البلاد، وطلب من المستخدمين، عبر تعبئة نموذج على الموقع نفسه، تزويده بمعلومات عن معارضين آخرين للنظام خارج إيران.
تقرير مكتب التحقيقات الفيدرالي بشأن عمليات وزارة الاستخبارات
أعلن مكتب التحقيقات الفيدرالي، في تقريره المنفصل، أنه فحص خلال تحقيقاته سبع عينات من البرمجيات الخبيثة المستخدمة في هذه العمليات.
ووفقًا للتقرير، استخدم المهاجمون "تلغرام" و"واتساب" و"إنستغرام" للتواصل مع الضحايا وتنفيذ عمليات الهندسة الاجتماعية، وفي بعض الحالات اقتربوا منهم من خلال عرض خدمات في مجال تكنولوجيا المعلومات.
وذكر التقرير أن المهاجمين اقتربوا في بعض الحالات من الضحية بعرض خدمات فنية، ثم حاولوا إما إقناعه بتثبيت برنامج "أني ديسك" (AnyDesk) لإتاحة الوصول عن بُعد إلى جهازه، أو أرسلوا إليه ملفًا مصابًا يبدو ظاهريًا كملف تثبيت لبرنامج عادي.
وقال مكتب التحقيقات الفيدرالي إن هذا النوع من النشاط مستمر منذ خريف عام 2023 على الأقل.
وأوضح المكتب أن التقرير الجديد هو نسخة محدثة من تحذير نشره في ربيع عام 2026، وأنه يتضمن الآن تحليلاً فنيًا أوسع ومؤشرات إضافية تتيح للمؤسسات اكتشاف الإصابة بالبرمجيات الخبيثة.
وكان الجهاز قد ذكر، في تقريره السابق، أن المعلومات التي جُمعت عن الأهداف نُشرت في بعض الحالات عبر عمليات لتسريب المعلومات على الإنترنت، كما أشار إلى "مجموعة حنظلة" للقرصنة باعتبارها إحدى الهويات الإلكترونية المرتبطة بمثل هذه الأنشطة.