Sicherheitsbehörden aus Großbritannien, den USA und den Niederlanden haben in einer gemeinsamen Warnung eine Spyware-Kampagne iranischer Staatshacker offengelegt, die gezielt Dissidenten, Aktivisten und Journalisten in den drei Ländern ins Visier nimmt.
Wie das britische National Cyber Security Centre (NCSC), das FBI und der niederländische Inlandsgeheimdienst AIVD laut einem Bericht von computerweekly.com vom 15. September 2026 mitteilten, setzt das iranische Ministry of Intelligence and Security seit mindestens 2025 eine Schadsoftware ein, die in Großbritannien unter dem Namen „Chosen Brick“ und in den USA als „Heavygram“ bekannt ist. Auch Reuters berichtete über die gemeinsame Warnung der drei Staaten.
Tarnung als vertrauenswürdige Apps und Kontakte
Die Angreifer verbreiten die Malware über die Messenger-Dienste WhatsApp, Telegram und Instagram. Dabei tarnen sie die Schadsoftware als bekannte Anwendungen wie Pictory, RunwayML, Norton Antivirus, Telegram selbst, KeePass oder Flash Player – teils auch als vermeintliche MRT- oder MRI-Befunde, wie computerweekly.com, theregister.com und zerohour.day übereinstimmend berichteten.
Laut tippinsights.com und securityweek.com nehmen die iranischen Akteure zudem über WhatsApp und Telegram direkten Kontakt zu ihren Zielen auf und geben sich dabei als vertrauenswürdige Bekannte oder technischer Support aus.
Wer sich mit der Sicherheit seiner Kommunikation befasst, sollte die Risiken gängiger Messenger-Dienste genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihre Privatsphäre schützen und eine sichere Alternative in wenigen Minuten einrichten. Telegram Startpaket kostenlos herunterladen
Umfangreiche Datenerfassung und Persistenzmechanismen
Die Chosen-Brick-Spyware sammelt nach Angaben von theregister.com und tippinsights.com Kontaktlisten, E-Mails und Nachrichten aus sozialen Medien, kann Bildschirminhalte erfassen und ermöglicht Zugriff auf das Mikrofon infizierter Geräte.
Für dauerhaften Zugriff nutzt die Malware laut theregister.com, zerohour.day und securityweek.com einen HKCU-Run-Key, richtet Ausnahmen in Microsoft Defender ein und kommuniziert über einen für jedes Gerät individuellen Telegram-Bot als Command-and-Control-Kanal.
Das FBI dokumentierte diesen Missbrauch von Telegram für die Steuerung der Angriffe in seinem Bericht vom 15. September 2026. Nach Angaben von zerohour.day wurden erbeutete Daten teilweise auf pro-iranischen Leak-Seiten veröffentlicht.
Der Missbrauch bekannter Messenger zeigt, wie wichtig ein umfassender Basisschutz für das eigene Mobilgerät geworden ist. Erfahren Sie in diesem gratis PDF-Ratgeber, mit welchen 5 einfachen Maßnahmen Sie Ihr Smartphone effektiv gegen Hacker und Spionage absichern. 5 Schutzmaßnahmen für Ihr Smartphone jetzt entdecken
Messenger als bevorzugtes Einfallstor
Die Warnung reiht sich in eine Reihe von Berichten ein, die zeigen, wie staatliche Akteure populäre Kommunikationsplattformen für ihre Zwecke instrumentalisieren.
Die Kombination aus vertrauenswürdig wirkenden Kontakten, bekannten App-Namen und der Nutzung etablierter Messenger wie WhatsApp und Telegram macht es für Betroffene schwer, die Angriffe frühzeitig zu erkennen. Gerade die Tarnung als medizinische Befunde oder häufig genutzte Software-Tools senkt die Hemmschwelle, unbekannte Dateien zu öffnen.
Für Journalisten, Aktivisten und Dissidenten in den betroffenen Ländern bedeutet die Warnung eine konkrete Bedrohungslage: Die Behörden gehen davon aus, dass die Kampagne bereits seit mindestens 2025 aktiv ist und gezielt Personen anspricht, die aus iranischer Sicht als Gegner oder kritische Stimmen gelten.
Die gemeinsame Veröffentlichung durch NCSC, FBI und AIVD signalisiert zudem eine verstärkte internationale Zusammenarbeit bei der Aufklärung staatlich gesteuerter Cyberspionage über Messaging-Dienste.
