Iran tarnt Spyware als MRT-Befund – Warnung westlicher Geheimdienste

Westliche Geheimdienste haben vor einer neuen iranischen Cyber-Kampagne gewarnt, bei der Spyware als MRT-Scan-Ergebnisse getarnt wird, um Kritiker des Regimes weltweit auszuspähen. Das britische National Cyber Security Centre (NCSC), das FBI der USA sowie der niederländische Nachrichtendienst und Sicherheitsdienst (AIVD/DIV) veröffentlichten am Dienstag eine gemeinsame Erklärung zu dem Tool namens „Chosen Brick“.

Die Malware wird vom Iran genutzt, um elektronische Geräte wie Computer zu hacken. Laut den Behörden ermöglicht „Chosen Brick“ den Angreifern, Kontakte, E-Mails und Social-Media-Nachrichten eines Ziels zu sammeln und gleichzeitig Zugriff auf das Mikrofon des Geräts zu erlangen. Persönliche Daten von Opfern seien bereits auf pro-iranischen Leak-Websites aufgetaucht.

Die iranischen Geheimdienste hätten zudem eine Vorgeschichte darin, geplant zu haben, wahrgenommene Feinde des islamischen Regimes im Ausland zu entführen oder zu töten, fügten die Behörden hinzu. Das iranische Botschaft in London reagierte zunächst nicht auf eine Anfrage zur Stellungnahme.

So funktioniert die Schadsoftware

Die Angreifer setzen sich laut der gemeinsamen Erklärung zunächst über soziale Messaging-Plattformen wie WhatsApp und Telegram mit einem Ziel in Verbindung. Zuvor führen sie umfangreiche Recherchen über die Person durch, um sich als „vertrauenswürdige“ Entität auszugeben. Nachdem ein Vertrauensverhältnis aufgebaut wurde, überzeugen die Angreifer das Ziel, die Spyware unbewusst herunterzuladen – entweder durch das Klicken auf einen Web-Link oder das Herunterladen einer Datei.

In mindestens einem Fall sah die Datei aus wie ein Satz MRT-Scan-Ergebnisse, so die Erklärung weiter. Das FBI gab an, dass die Spyware im Auftrag des iranischen Ministeriums für Geheimnisse und Sicherheit (MOIS) seit mindestens 2023 eingesetzt wird.

„Die Details dieser Cyber-Kampagne zeigen, wie rücksichtslos der Iran digitale Überwachung einsetzt, um sein Ziel zu verfolgen, Kritiker des Regimes zu unterdrücken, indem er E-Mails und Nachrichten stiehlt und Zugriff auf Geräte erlangt“, sagte Paul Chichester, Direktor für Operationen beim NCSC, einer Einrichtung der britischen Signale Intelligence Agency GCHQ.

Zielgruppe und technische Details

Die westlichen Geheimdienste gaben an, die Details der mutmaßlichen iranischen Kampagne öffentlich zu machen, um potenzielle Ziele zu warnen. „MOIS-Cyber-Akteure nutzen diese Malware wahrscheinlich, um Intelligenzdaten zu sammeln, Datenlecks durchzuführen und reputationalen Schaden anzurichten“, fügte das FBI hinzu.

Sowohl das NCSC als auch das FBI betonten, dass die Spyware ausschließlich <a class="tvreplink" target="_blank" href="https://de.tradingview.com/symbols/Nasdaq%3AMSFT">Microsoft-Windows-Betriebssysteme angreift und selbst nach einem Neustart auf infizierten Geräten verbleibt. Die Malware zielt damit auf eine breite Nutzerbasis ab, da Windows weltweit das am weitesten verbreitete Betriebssystem ist.

Gary Barlet vom US-Cybersecurity-Unternehmen Illumio kommentierte die Enthüllungen mit den Worten: „Die Malware kann sich ändern und die Akteure können sich ändern, aber der Ansatz ist bemerkenswert konsistent: Vertrauen ausnutzen, Zugang erlangen, Informationen stehlen.“ Er fügte hinzu: „Die eigentliche Erkenntnis aus dem NCSC-Bericht ist, dass Organisationen und Einzelpersonen immer noch unterschätzen, wie oft sie ins Visier genommen werden.“

Für deutsche Anleger und Unternehmen ist dieser Vorfall eine weitere Erinnerung an die wachsende Bedrohung durch staatlich gelenkte Cyber-Angriffe. Die Tarnung als medizinische Dokumente macht die Angriffe besonders tückisch, da Empfänger solcher Dateien kaum Anlass zur Skepsis haben. Die Offenlegung durch die Geheimdienste dient nicht nur der Warnung, sondern auch der Sensibilisierung für die zunehmend professionellen Methoden staatlicher Akteure im Cyber-Raum.