伊朗 CHOSEN BRICK 间谍软件定向攻击异见群体研究

摘要

2026 年 9 月 15 日，英国国家网络安全中心、美国联邦调查局与荷兰通用情报与安全局联合发布通报，披露伊朗国家行为体使用一款名为 CHOSEN BRICK 的 Windows 平台间谍软件，对全球范围内的异见人士、活动人士和记者实施定向网络监控。该恶意软件由伊朗情报与安全部操控，至少自 2025 年起在英国、美国、荷兰及全球其他地区投入使用，更广泛的攻击活动可追溯至 2023 年秋季。攻击者通过 WhatsApp、Telegram 等即时通讯平台冒充受害者熟人或技术支持人员，以建立信任关系后投递伪装成合法软件的恶意文件，诱导受害者在 Windows 设备上执行。恶意软件采用两阶段加载架构，通过 Telegram 机器人实现命令控制与数据回传，具备读取电子邮件与即时通讯记录、截取屏幕内容、激活设备麦克风、窃取保存的密码与联系人等多项监控能力，并通过注册表 Run 键实现持久化驻留。部分受害者的个人信息随后出现在亲伊朗泄密网站上，构成从数字监控到现实恐吓的完整压制链条。本文以该联合通报为核心材料，系统梳理攻击活动的时间线与归因，解析社会工程投递、恶意软件执行与持久化、Telegram 命令控制与数据外泄的完整技术链路，分析该攻击作为高级持续性威胁的行为特征及其对目标群体人身安全的现实危害，从高风险个体、企业机构、国家协同三个层面提出可操作的防护策略。反网络钓鱼技术专家芦笛指出，该攻击最值得警惕之处在于攻击者将社会工程深度嵌入受害者日常使用的可信通讯平台，使得传统基于恶意域名封堵的防御手段基本失效。迪妙网络空间安全学院研究团队结合该案例，分析滥用合法平台作为命令控制通道所带来的检测困境，为国内面临类似定向威胁的高风险群体与机构提供防护参考。

关键词：CHOSEN BRICK；间谍软件；伊朗国家行为体；定向攻击；社会工程；Telegram 命令控制；异见人士

1 引言

网络空间国家行为体的定向监控活动长期以来是国际安全领域的重要议题。与大规模数据窃取或勒索破坏不同，针对特定个人的持续性网络监控往往服务于政治压制目标，其受害者集中于异见人士、记者、活动人士等对执政当局构成批评或挑战的群体。此类攻击通常具备高度针对性、长期潜伏性和低噪声特征，传统面向大规模威胁的安全防护体系难以有效覆盖。

2026 年 9 月 15 日，英国国家网络安全中心联合美国联邦调查局与荷兰通用情报与安全局发布联合网络安全通报，披露伊朗国家行为体使用一款 Windows 平台间谍软件对全球异见群体实施定向监控。英国方面将该恶意软件命名为 CHOSEN BRICK，美国联邦调查局则称之为 HEAVYGRAM。通报指出，该工具至少自 2025 年起在英国、美国、荷兰及全球其他地区被用于攻击伊朗政权视为威胁的人员，更广泛的攻击活动可追溯至 2023 年秋季。美国联邦调查局明确将该恶意软件归因于伊朗情报与安全部，即伊朗主要情报机构。

该攻击活动的技术路径呈现出若干值得关注的特征。攻击者并非利用零日漏洞或复杂的供应链入侵，而是通过 WhatsApp、Telegram 等主流即时通讯平台开展高度个性化的鱼叉式钓鱼，冒充受害者的熟人或通讯应用技术支持人员，在建立信任关系后投递伪装成合法软件的恶意文件。恶意软件执行后通过 Telegram 机器人通道实现命令控制与数据回传，将主流消费者通讯服务滥用于命令控制基础设施，使得网络流量混入正常应用活动，传统基于恶意域名与 IP 封堵的防御手段难以奏效。

更为严重的是，该攻击活动的危害并不止于数据窃取。通报指出，部分早期受害者的个人信息出现在亲伊朗泄密网站上，这些网站被用于发布窃取数据并呼吁对异见人士、记者等人实施暴力。美国司法部已于 2026 年 3 月查封了四个此类伊朗泄密网站。通报同时评估，伊朗几乎肯定利用网络活动支持对其视为威胁人员的压制，在部分案例中伊朗情报机构甚至策划在海外绑架或杀害相关人员。这意味着该间谍软件攻击构成了从数字监控到现实恐吓乃至人身威胁的完整压制链条，其后果无法仅以数据损失衡量。

当前国内针对国家行为体定向间谍软件的研究多聚焦于商业间谍软件（如 Pegasus）的技术分析，对于伊朗等国自主开发、通过社交工程投递、滥用合法平台实施命令控制的定制化监控工具缺乏系统性案例研究。基于此，本文以该联合通报为核心材料，结合多家安全媒体的跟踪报道，系统梳理 CHOSEN BRICK 攻击活动的全貌，解析其技术链路与行为特征，分析其所折射的防御困境，并从多个层面提出防护策略，为面临类似定向威胁的高风险群体与机构提供参考。

2 CHOSEN BRICK 间谍软件事件概述与归因

2.1 联合通报背景与时间线

2026 年 9 月 15 日，英国国家网络安全中心、美国联邦调查局与荷兰通用情报与安全局联合发布网络安全通报，正式披露伊朗国家行为体使用 CHOSEN BRICK 间谍软件对异见人士、活动人士和记者实施定向监控的攻击活动。此次联合通报并非该攻击活动的首次公开披露。美国联邦调查局曾于 2026 年 3 月发布首次警报描述该攻击活动，此次 9 月通报在原有基础上补充了更多技术细节与新的入侵指标，并由三国情报机构联合署名，标志着对该威胁的归因与技术分析达到了更高的置信度。

从时间线来看，不同机构对攻击活动起始时间的评估存在差异。美国联邦调查局将更广泛的攻击活动追溯至 2023 年秋季，表明伊朗情报与安全部至少从 2023 年开始部署此类监控工具。英国国家网络安全中心则评估 CHOSEN BRICK 这一特定恶意软件家族至少自 2025 年起被用于针对英国、美国和荷兰及全球其他地区的目标。这种时间线差异反映了攻击活动可能经历了工具迭代与演进过程，2023 年秋季启动的更广泛行动可能使用了早期版本或相关工具，而 CHOSEN BRICK 作为较为成熟的版本在 2025 年投入规模化使用。

英国国家网络安全中心运营总监保罗・奇切斯特就此次通报发表声明，指出该网络活动的细节揭示了伊朗如何无情地利用数字监控追求其压制政权批评者的目标，窃取电子邮件和消息并访问设备，他敦促面临风险的个人阅读通报中描述的社会工程技术并采取缓解措施。这一声明将该攻击活动明确定性为国家支持的跨国压制行为，而非普通网络犯罪。

2.2 威胁归因与行为主体

美国联邦调查局在其技术分析中明确将 CHOSEN BRICK 恶意软件归因于伊朗情报与安全部。伊朗情报与安全部是伊朗主要的国内与海外情报机构，负责情报收集、反间谍以及对异见群体的监控与压制。将该恶意软件直接归因于这一国家级情报机构，意味着攻击活动的资源投入、目标选择与行动指令均来自国家层面，而非独立黑客组织或犯罪团伙。

英国国家网络安全中心与荷兰通用情报与安全局在联合通报中使用了 "伊朗国家网络行为体" 这一表述，与美国联邦调查局的具体机构归因形成互补。三方联合署名本身即构成强有力的归因背书，降低了单一机构评估可能存在的偏差风险。通报同时指出，该活动与谷歌威胁情报团队此前追踪的相关威胁集群存在关联，进一步从第三方视角印证了攻击活动的持续性与规模。

需要指出的是，三方机构将其结论表述为评估而非法庭已决事实，这是国家安全机构公开归因的标准做法，反映了情报来源与证据链的保密性要求。但从技术指标、行为模式、目标选择与地缘政治动机的多重交叉验证来看，该归因具有较高的可信度。

2.3 攻击目标群体特征

通报对攻击目标群体的描述异乎寻常地具体，这本身即是该攻击活动区别于普通恶意软件报告的重要特征。被点名的目标群体包括伊朗异见人士、反对伊朗的记者、活动人士以及观点与伊朗政府相冲突的团体成员。目标地域覆盖英国、美国和荷兰，但英国国家网络安全中心同时指出攻击已波及全球各地人员。美国联邦调查局进一步警告，任何被伊朗视为具有情报价值的人员都可能成为目标，这意味着目标范围并不局限于伊朗裔异见群体，还可能包括与伊朗议题相关的记者、研究人员、政策制定者以及人道主义工作者。

该威胁模型与大多数恶意软件报告存在本质区别。攻击活动中没有勒索信，没有大规模凭据窃取，没有僵尸网络组建。其目标是获知特定人员在说什么、与谁联系、身处何地，然后在有记录的案例中将窃取的个人信息发布于亲伊朗泄密网站，以实现从数字入侵到现实恐吓的转化。对于记者而言，这可能意味着消息来源暴露；对于活动人士而言，这可能意味着联系人网络被破译。在此语境下，一张屏幕截图或一段麦克风录音的后果无法以经济损失衡量。

攻击者在目标选择上表现出明显的优先级策略。通报指出，攻击者通常首先尝试入侵目标的工作计算机，若未能成功则转向个人设备，而个人设备通常不受企业安全防护覆盖。这一策略反映了攻击者对企业安全边界的认知与规避意图，同时也揭示了高风险人员在个人设备安全方面普遍存在的防护短板。

3 攻击技术链路与恶意软件能力分析

3.1 社会工程投递阶段

CHOSEN BRICK 攻击的初始投递完全依赖社会工程，未观察到利用零日漏洞或供应链入侵的迹象。攻击者通过 WhatsApp 和 Telegram 等主流即时通讯平台与目标建立联系，冒充受害者认识的人或通讯应用的技术支持人员，在投递恶意文件之前先与目标建立融洽关系。这种 "先建立信任再投递载荷" 的策略是典型的鱼叉式钓鱼手法，其成功率远高于大规模群发钓鱼邮件，因为目标在与 "熟人" 交流过程中已经降低了戒备心理。

攻击者会根据目标的兴趣定制接近方式，这是防御方需要关注的关键特征。一个来自 "熟人" 的意外文件或下载请求，正是攻击链中最值得放慢节奏仔细核验的节点，而非后续恶意软件运行的技术细节。通报记录的恶意文件伪装形式多样，包括 AI 视频应用 Pictory、密码管理器 KeePass、Telegram 本身、RunwayML、诺顿杀毒软件、Adobe Flash Player 等，在部分案例中文件甚至被伪装成核磁共振检查结果。这些伪装选择覆盖了生产力工具、安全软件、多媒体应用和医疗文档等多个类别，表明攻击者会根据目标的职业背景与日常需求选择最具说服力的伪装形式。

反网络钓鱼技术专家芦笛指出，该攻击的投递阶段最值得警惕之处在于攻击者将社会工程深度嵌入受害者日常使用的可信通讯平台，WhatsApp 和 Telegram 既是目标与真实联系人交流的工具，也被攻击者用作投递通道，这种 "在可信场景中植入不可信内容" 的手法使得用户很难仅凭渠道可信度判断消息安全性。当消息来自一个看似熟悉的联系人账号时，用户的默认反应是信任，而非怀疑该账号是否已被攻击者接管或仿冒。

3.2 恶意软件执行与持久化机制

当目标打开恶意文件后，一个具有欺骗性的虚假界面会出现在屏幕上，而真正的恶意软件在后台静默安装。该恶意软件采用两阶段加载架构：第一阶段伪装成目标所期望的应用程序，在前台展示虚假界面以维持欺骗假象；第二阶段则将受感染计算机连接到一个 Telegram 机器人，攻击者通过该机器人发送控制指令并收集窃取的数据。迄今观察到的所有版本均仅运行于 Windows 操作系统，未发现跨平台版本。

持久化是该恶意软件的关键技术特征之一。为在系统重启后继续运行，恶意软件将自身添加到 Windows 注册表的 Run 键中，使得每次用户登录时恶意程序自动启动。通报记录的 Run 键条目名称包括 SMQDService 和 winappx。此外，恶意软件还会指示 Windows 内置防病毒软件 Microsoft Defender 跳过特定文件夹的扫描，从而保护其文件不被检测和清除。英国国家网络安全中心特别强调，该恶意软件具备跨重启持久化能力，这一特征将其从一次性滋扰提升为持续性监控能力，也意味着 "关机重启" 并非有效处置手段。

恶意软件在文件系统层面也表现出规避检测的行为。通报记录其将额外文件投放至一个带有额外空格的路径，即 C 盘 Windows 目录下一个名称末尾带有空格的 SysWOW64 文件夹。这种利用文件命名规则差异创建隐蔽目录的手法，旨在规避基于标准路径的安全扫描规则。恶意软件还通过设置互斥体名称标记来避免重复运行，已观测到的互斥体名称包括 ytyjyujyu 和 noi672pp434awkc12f。这些技术指标为端点检测与威胁狩猎提供了具体的搜索依据，但通报同时警告，恶意软件的文件名和文件夹名称可能发生变化，因此这些指标不应被视为唯一的检测依据。

3.3 Telegram 命令控制与数据外泄

CHOSEN BRICK 最引人注目的技术设计是其将 Telegram 即时通讯服务用作命令控制通道。每台受感染计算机被分配一个专属的 Telegram 机器人，这种设计使得不同受害者的活动相互隔离，避免单一机器人被封禁后影响全部被控主机。攻击者通过 Telegram 机器人向受感染设备发送指令，并通过同一通道接收窃取的数据。

使用主流消费者即时通讯服务作为命令控制通道，对传统网络防御构成了显著挑战。Telegram 流量在大多数组织网络中属于正常业务或个人通信流量，安全团队不能简单地通过封堵域名或 IP 来阻断攻击，因为这将同时影响合法用户。对于使用 Telegram 进行合法新闻采访或人权工作的记者和活动人士而言，封堵 Telegram 更是不可接受的选项。这意味着检测必须依赖端点行为信号与异常模式识别，而非依赖一份整洁的恶意域名黑名单。

数据外泄通道同样呈现出滥用合法服务的特征。窃取的文件通过 Telegram 机器人以及 Vultr、Storj、Backblaze B2 等云存储服务离开受感染设备。通报记录的网络连接指标包括api.telegram.org、vultrobjects.com、storjshare.io、shturl.cc/rZII8、iproyal.com和lightningproxies.net。较新版本的恶意软件还通过代理服务器发送 Telegram 流量以进一步隐藏通信。这些服务本身均为合法商业服务，攻击者利用其基础设施承载恶意流量，使得基于网络信誉的检测手段难以区分正常使用与恶意活动。

值得注意的是，该恶意软件未被观察到自行在网络中横向传播，尽管它可以下载额外工具。这一特征与高级持续性威胁的典型行为模式一致：攻击者追求对特定目标的静默长期监控，而非快速扩散造成大规模影响。

3.4 核心监控能力清单

CHOSEN BRICK 具备广泛的监控与数据窃取能力，通报明确列出的功能包括：枚举系统中运行的程序列表；截取屏幕内容；激活设备麦克风录制音频；从浏览器中复制 Telegram 和 WhatsApp 数据；窃取浏览器中保存的密码和电子邮件地址；下载额外恶意软件；删除文件。至少一个版本还具备擦除整个计算机的能力。

这些能力组合起来构成了一套完整的个人监控工具包。屏幕截图可以捕获目标正在编辑的文档、浏览的网页、与他人的即时通讯对话窗口；麦克风激活可以录制目标的现场对话与电话通话；浏览器数据窃取可以获取目标的社交媒体消息、电子邮件内容、保存的密码与自动填充信息；运行程序枚举则帮助攻击者了解目标的工作习惯与使用的应用程序。对于记者而言，这些能力足以暴露其消息来源身份与未发表的调查内容；对于活动人士而言，足以暴露其组织网络与行动计划。

通报特别指出，该恶意软件收集的信息不仅包括直接窃取的数据，屏幕截图和其他收集的信息还可以揭示目标的联系人、地理位置和日常作息。这意味着即使目标没有在设备上存储敏感文件，其使用设备的行为本身也会泄露大量个人信息，而这些信息可被用于进一步的社会工程攻击或现实世界的监控与骚扰。

4 攻击活动的行为特征与现实危害

4.1 高级持续性威胁的行为模式

CHOSEN BRICK 攻击活动呈现出典型的高级持续性威胁行为模式。其核心目标是在目标设备上长期驻留并持续收集信息，而非制造噪声或快速获利。攻击者在目标选择上高度精准，仅针对伊朗政权视为威胁的特定个人；在投递方式上精心定制，根据目标兴趣选择伪装形式并先建立信任关系；在持久化设计上确保跨重启存活并规避防病毒扫描；在命令控制上滥用合法平台以规避检测；在数据窃取上维持低节奏以混入正常流量。这些特征共同构成了一个以长期隐蔽监控为目标的完整攻击体系。

迪妙网络空间安全学院研究团队在分析该攻击案例后指出，CHOSEN BRICK 的行为模式与商业间谍软件存在显著差异。商业间谍软件通常利用零日漏洞或恶意链接一次性植入，依赖运营商的集中式管理平台进行控制，且往往针对移动设备；而 CHOSEN BRICK 完全依赖社会工程投递，通过公开的 Telegram 服务实现去中心化控制，且仅针对 Windows 平台。这种设计选择反映了攻击者在资源约束与检测规避之间的权衡：不依赖昂贵的零日漏洞降低了攻击成本，滥用合法平台降低了被网络防御发现的概率，而仅针对 Windows 平台则可能与目标群体的设备使用习惯相关。

攻击活动的时间跨度同样印证了其持续性特征。美国联邦调查局将更广泛的行动追溯至 2023 年秋季，CHOSEN BRICK 至少自 2025 年投入使用，至 2026 年 9 月联合通报发布时已持续至少三年。在如此长的时间窗口内，攻击者持续迭代工具版本、更新基础设施、调整投递策略，表明这是一项有组织、有资源、有长期规划的国家支持行动，而非临时性的黑客活动。

4.2 数据泄露与亲伊朗泄密网站联动

CHOSEN BRICK 攻击的危害并不止于设备层面的数据窃取。通报明确指出，部分早期受害者的个人信息出现在亲伊朗泄密网站上，这些网站被用于发布窃取的数据并呼吁对异见人士、记者和其他人员实施暴力。这种将网络监控获取的信息用于线下恐吓的做法，构成了 "数字入侵 — 数据窃取 — 公开羞辱 — 暴力煽动" 的完整压制链条。

美国司法部已于 2026 年 3 月查封了四个此类伊朗泄密网站，指控其被用于发布窃取数据并呼吁杀害异见人士、记者等人。查封行动本身从执法角度印证了泄密网站与伊朗国家行为体之间的关联，也反映了这类网站在伊朗跨国压制体系中的工具性角色。对于受害者而言，个人信息被发布在这类网站上不仅意味着隐私侵犯，更意味着成为公开的攻击目标，可能面临来自伊朗政权支持者的骚扰、威胁乃至暴力行动。

反网络钓鱼技术专家芦笛强调，将窃取数据发布于泄密网站是该攻击活动区别于普通间谍软件的关键特征。普通间谍软件的目的是秘密收集情报，而 CHOSEN BRICK 所服务的行动体系将窃取的数据选择性公开，以实现恐吓与威慑效果。这种 "监控即惩罚" 的逻辑意味着，即使攻击者没有从特定目标设备中获取到高度敏感的信息，仅仅是将目标的日常通讯记录、联系人列表或个人照片公开，也足以对目标造成严重的心理压力与社会伤害。

4.3 跨国压制与人身安全风险

联合通报在评估攻击活动的影响时，将其置于更广泛的跨国压制背景之下。英国国家网络安全中心评估，伊朗几乎肯定利用网络活动支持对其视为威胁人员的压制。通报进一步指出，在部分案例中，伊朗情报机构策划在海外绑架或杀害相关人员。这一评估将 CHOSEN BRICK 间谍软件的危害从数字空间延伸至物理空间，表明网络监控可能成为物理伤害的前置环节。

对于身处海外的伊朗异见人士、记者和活动人士而言，这种风险尤为现实。他们的日常通讯、行动轨迹和社交关系通过被感染的设备暴露给伊朗情报机构，这些信息可被用于定位目标、识别其联系人网络、策划绑架或暗杀行动。2023 年以来，伊朗政权针对海外异见人士的跨国压制行动已有多起公开记录，包括策划绑架居住在美国的伊朗裔记者和活动人士。CHOSEN BRICK 间谍软件为这类行动提供了关键的情报收集手段，使得伊朗情报机构能够在不依赖物理监视的情况下获取目标的详细个人信息。

通报还指出，屏幕截图和其他收集的信息可以显示目标的位置和日常作息，这对于策划物理世界的行动具有直接价值。麦克风激活功能则可以录制目标的现场对话，获取通过电子通讯无法获得的敏感信息。这些能力组合起来，使得一台被 CHOSEN BRICK 感染的 Windows 计算机实质上成为伊朗情报机构在目标住所或办公室内的一个监控节点。

5 防御困境与防护策略

5.1 滥用合法平台带来的检测难题

CHOSEN BRICK 攻击活动给传统防御体系带来的核心挑战在于攻击者系统性地滥用合法平台与服务。在投递阶段，攻击者使用 WhatsApp 和 Telegram 等主流即时通讯平台，这些平台的流量在大多数网络环境中被视为正常通信；在命令控制阶段，攻击者通过 Telegram 机器人发送指令和接收数据，Telegram API 流量与正常用户使用无法简单区分；在数据外泄阶段，攻击者利用 Vultr、Storj、Backblaze 等合法云存储服务传输窃取文件，这些服务的域名具有良好的网络信誉。较新版本还通过代理服务器进一步隐藏 Telegram 通信源头。

这种设计使得基于域名信誉、IP 黑名单和网络流量异常的传统检测手段基本失效。安全团队不能因为检测到 Telegram 流量就判定为恶意，因为大量合法用户依赖该平台进行通信；也不能因为检测到 Vultr 云存储访问就触发告警，因为许多企业正常使用该服务。检测必须转向端点行为层面，关注恶意软件的持久化配置、异常进程行为、对麦克风和屏幕的非常规访问，以及与 Telegram API 的非典型交互模式。

迪妙网络空间安全学院研究团队认为，滥用合法平台作为攻击基础设施是国家行为体定向攻击的一个重要发展趋势。随着各国安全机构对恶意命令控制服务器的打击力度加大，攻击者越来越倾向于将基础设施嵌入难以被整体封堵的合法服务之中。这一趋势要求防御方从 "封堵恶意基础设施" 的思维转向 "检测异常端点行为" 的思维，同时需要平台方在滥用检测方面承担更多责任。Telegram 方面在 2026 年 3 月联邦调查局首次发出警告时曾回应称，其审核人员会定期移除被发现参与恶意软件活动的账号，但从攻击活动持续至 2026 年 9 月的事实来看，平台层面的检测与移除尚未形成有效遏制。

5.2 高风险个体层面的防护措施

对于可能成为目标的高风险个人，联合通报给出了具体且可操作的防护建议。首要原则是不打开通过消息发送的文件或链接，仅从官方网站或应用商店下载软件。这一原则直接针对 CHOSEN BRICK 的社会工程投递手法，因为所有已知感染案例均始于受害者执行了通过即时通讯平台接收的恶意文件。即使发送者看起来是熟人，也应当通过其他渠道核实对方是否确实发送了该文件，因为攻击者可能已经接管了熟人的账号或创建了高度相似的仿冒账号。

保持操作系统和所有应用程序更新，理想情况下启用自动更新，是减少攻击面的基础措施。运行防病毒软件并保持其开启和更新也是推荐做法，尽管 CHOSEN BRICK 具备规避 Microsoft Defender 扫描的能力，但保持防病毒软件运行仍然可以检测到已知变体和其他恶意软件。下载文件时不应忽略 SmartScreen 警告，该功能在检测到未识别或可疑文件时会发出提示，是社会工程投递阶段的重要技术防线。

对于怀疑设备已被感染的个人，通报建议检查前述注册表 Run 键中是否存在 SMQDService 或 winappx 条目，检查是否存在带有额外空格的异常系统目录，并告知 IT 支持人员或向国家网络安全机构报告。由于该恶意软件具备持久化能力且可能下载额外工具，仅删除可见文件不足以确保清除，应当寻求专业安全响应人员的协助。英国国家网络安全中心为高风险个人提供专门支持，包括免费网络防御服务，面临风险的个人应当主动利用这类资源。

5.3 企业与机构层面的防御策略

对于雇佣高风险人员（如记者、异见社区联络人、与伊朗议题相关的高管）的企业和机构，联合通报与安全分析指出了三项关键行动。

第一，对高风险员工进行具名安全简报。需要接收此警告的人员包括机构内的记者、与异见社区有联系的工作人员、以及公众形象与伊朗利益存在交集的高管。应当向他们明确说明具体的攻击诱饵模式：即时通讯应用上来自熟悉联系人的消息、定制化的借口、随后发送的文件。这种具名简报比泛泛的安全意识培训有效得多，因为它直接关联到目标人员可能面临的真实威胁场景。

第二，对照通报中的入侵指标检查端点遥测数据。联邦调查局的技术分析报告和联合通报提供了文件哈希、注册表条目、文件路径、互斥体名称和网络连接指标等具体入侵指标。企业安全团队应当在 Windows 端点检测数据中检索这些指标，并狩猎通报描述的持久化行为和基于 Telegram 的命令控制行为，而不是等待消费者应用命令控制所无法提供的域名黑名单来触发告警。特别需要关注的是，受感染设备可能首先出现在工作计算机上，因此企业端点检测数据是发现早期感染的重要来源。

第三，在托管设备上限制未经批准的即时通讯应用安装。如果 Telegram 和 WhatsApp 在企业托管的 Windows 设备上并非工作必需，控制其安装可以缩小通报描述的冒充接近手法的投递面。这一措施并非禁止员工使用这些应用，而是确保在企业管理的设备上减少不必要的攻击面，同时引导员工在个人设备上使用时保持更高的安全警惕。

此外，企业层面还应启用抗钓鱼多因素认证、应用程序白名单和托管设备控制、使用电子邮件提供商提供的扫描和安全工具、监控计算机和网络流量并在日志中搜索上述指标。这些措施虽然不能完全消除定向攻击的风险，但可以显著提高攻击者的入侵成本和被发现概率。

5.4 国家层面的协同应对

CHOSEN BRICK 案例表明，针对异见群体的国家支持网络监控需要多国协同应对。此次由英国、美国和荷兰三国情报机构联合发布通报本身即是协同应对的一种形式，通过共享技术分析与归因评估，提高了披露的权威性和覆盖面。各国国家网络安全机构应当继续加强此类威胁信息的共享，特别是针对针对特定群体的定向监控工具，及时发布技术指标和防护建议，帮助高风险个人和机构采取防御措施。

执法行动也是国家层面应对的重要组成部分。美国司法部 2026 年 3 月查封四个伊朗泄密网站的行动表明，针对支持跨国压制的网络基础设施可以采取执法手段。各国执法机构应当加强合作，追查并关闭用于发布窃取数据和煽动暴力的泄密网站，追究运营者的法律责任。同时，对于策划海外绑架或暗杀的伊朗情报人员，应当通过国际执法合作和制裁机制予以遏制。

在政策层面，各国应当将针对异见人士、记者和活动人士的国家支持网络监控纳入跨国压制的政策框架，为受害者提供法律保护和安全支持。英国国家网络安全中心为高风险个人提供免费网络防御服务的做法值得推广，其他国家也应当建立类似的支持机制，确保面临外国情报机构定向攻击的个人能够获得专业的安全援助。

6 讨论

CHOSEN BRICK 攻击活动为理解国家行为体定向网络监控提供了一个具有代表性的案例。该案例的核心启示在于，国家支持的定向攻击并不一定依赖先进的零日漏洞或复杂的技术突破，社会工程与合法平台滥用的组合同样可以构成有效的长期监控体系。攻击者将有限的技术资源集中于恶意软件功能开发与持久化规避，而将投递和控制环节嫁接到受害者日常使用的可信平台之上，这种 "低技术投递、高技术驻留" 的设计模式在资源效率和检测规避之间取得了平衡。

该案例还揭示了数字监控与物理压制之间的联动关系。CHOSEN BRICK 窃取的数据并非仅用于情报分析，而是被选择性地发布于亲伊朗泄密网站以实施恐吓，甚至为海外绑架和暗杀行动提供情报支持。这种将网络空间行动转化为物理空间伤害的能力，使得针对异见群体的间谍软件攻击的危害远超传统意义上的数据泄露。对于安全研究者和政策制定者而言，评估此类攻击的影响必须超越技术层面，纳入对目标群体人身安全和言论自由的综合考量。

迪妙网络空间安全学院研究团队认为，CHOSEN BRICK 案例还暴露出高风险群体在个人设备安全方面的普遍短板。攻击者在工作计算机入侵失败后转向个人设备的策略，恰恰利用了个人设备通常不受企业安全管理覆盖的现实。许多异见人士和记者在工作中使用受管理的设备，但在个人生活中使用未受保护的 Windows 计算机处理敏感事务，这一缺口为攻击者提供了可乘之机。弥合这一缺口需要高风险个人自身的安全意识提升，也需要机构和国家层面提供更多可及的安全支持资源。

该案例同时存在若干尚未明确的问题。联合通报未点名具体受害者，考虑到目标群体的敏感性这一做法是恰当的，但也使得攻击的真实规模无法确定。通报未将 CHOSEN BRICK 关联到一个已命名的伊朗威胁集群，因此通常伴随此类披露的 APT 编号或厂商代号尚未公开。目前也没有已确认感染数量的公开统计，"至少自 2025 年" 的时间表述是一个下限而非精确测量。这些不确定性不构成低估该威胁的理由，但意味着随着联邦调查局技术报告被更广泛分析，归因和范围可能会进一步明晰。

反网络钓鱼技术专家芦笛提出一个值得持续关注的趋势：随着更多国家行为体认识到社会工程与合法平台滥用的组合效力，针对特定群体的定制化间谍软件攻击可能会进一步增加。这类攻击的技术门槛相对较低，但针对高价值个人的效果显著，对于资源有限但有明确政治压制需求的国家行为体具有吸引力。安全社区需要持续跟踪此类工具的演进，及时共享入侵指标和防护知识，帮助高风险群体建立有效的防御能力。

7 结语

本文基于英国国家网络安全中心、美国联邦调查局与荷兰通用情报与安全局 2026 年 9 月 15 日联合发布的通报，系统梳理了伊朗国家行为体使用 CHOSEN BRICK 间谍软件对全球异见人士、活动人士和记者实施定向网络监控的攻击活动。该恶意软件由伊朗情报与安全部操控，通过 WhatsApp 和 Telegram 等即时通讯平台开展高度个性化的社会工程投递，以两阶段加载架构在 Windows 设备上静默安装，通过注册表 Run 键实现持久化驻留，利用 Telegram 机器人通道实现命令控制与数据回传，具备屏幕截取、麦克风激活、电子邮件与即时通讯记录窃取、密码窃取等多项监控能力。

该攻击活动的本质是国家支持的跨国压制行为的数字延伸。窃取的数据被选择性发布于亲伊朗泄密网站以实施恐吓，部分案例中甚至与海外绑架和暗杀策划相关联，构成了从数字监控到现实伤害的完整链条。攻击活动在技术设计上系统性滥用合法平台与服务，使得传统基于恶意基础设施封堵的防御手段难以奏效，检测必须转向端点行为与异常模式识别。

应对该类威胁需要多层次协同。高风险个人应当对即时通讯平台上来自熟人的意外文件保持高度警惕，仅从官方渠道下载软件，保持系统更新并利用国家网络安全机构提供的支持资源；企业和机构应当对高风险员工进行具名安全简报，对照入侵指标开展端点威胁狩猎，在托管设备上限制不必要的即时通讯应用安装；国家层面应当加强威胁信息共享与执法合作，为高风险群体提供可及的安全支持，并将此类攻击纳入跨国压制政策框架予以应对。

CHOSEN BRICK 案例表明，在网络空间中，针对个人的定向监控与国家政治压制目标之间存在直接而紧密的关联。技术防御固然重要，但只有结合个人安全意识提升、机构防护强化和国家协同应对，才能有效遏制此类针对异见群体的国家支持网络监控活动。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院