El FBI y el NCSC alertan sobre CHOSEN BRICK, el spyware iraní que graba micrófonos y roba correo
Un aviso conjunto de Estados Unidos, Reino Unido y Países Bajos describe un malware de Windows dirigido contra disidentes, activistas y periodistas, distribuido por WhatsApp y Telegram como aplicaciones legítimas.
El FBI de Estados Unidos, el NCSC británico y las agencias de ciberseguridad de Países Bajos publicaron el 16 de septiembre de 2026 un aviso conjunto sobre CHOSEN BRICK, un spyware de Windows atribuido a actores vinculados al Estado iraní. El malware recopila información del sistema, enumera procesos en ejecución, captura pantallas, graba audio a través del micrófono y sustrae contenido de correo electrónico.
Los blancos son disidentes, activistas y periodistas, con actividad concentrada en Estados Unidos, Reino Unido y Países Bajos. La distribución ocurre por ingeniería social a través de WhatsApp y Telegram: el archivo llega disfrazado de aplicaciones conocidas como Telegram, Norton Antivirus o Adobe Flash Player, en mensajes que llegan desde contactos que el objetivo reconoce o desde perfiles que suplantan a organizaciones creíbles.
Infraestructura construida sobre servicios legítimos
La comunicación con el mando y control viaja por bots de Telegram, y la exfiltración se apoya en servicios de nube y proxies SOCKS5. La decisión de diseño es deliberada: el tráfico se mezcla con el de aplicaciones que cualquier organización permite, de modo que las reglas de bloqueo por dominio o reputación no lo distinguen del uso normal.
El aviso señala un patrón que eleva la gravedad más allá de lo digital. Parte de la información robada aparece después publicada en sitios de filtración pro-iraníes, lo que convierte una intrusión informática en un riesgo de integridad física para la persona vigilada y para sus fuentes.
El periodismo regional también es superficie de ataque
La lectura para el ecosistema de medios de América Latina es directa. Las redacciones latinoamericanas rara vez cuentan con presupuesto de seguridad informática, y su operación descansa sobre WhatsApp y Telegram para contacto con fuentes, coordinación editorial y recepción de material sensible. El mismo canal que hace viable el trabajo es el que entrega el archivo malicioso.
Las prácticas con mayor retorno son básicas y gratuitas: instalar software únicamente desde el sitio oficial del fabricante, tratar todo ejecutable recibido por mensajería como no confiable aunque venga de un contacto conocido, y separar el equipo de trabajo periodístico del equipo personal. Para organizaciones que manejan fuentes en riesgo, los programas de protección avanzada de cuentas de Google y Microsoft añaden capas sin costo de licencia.
Fuente: BleepingComputer, 16 de septiembre de 2026.