Un avviso congiunto pubblicato il 15 settembre 2026 da autorità di Stati Uniti, Regno Unito e Paesi Bassi descrive un malware per Windows usato, secondo le agenzie, dall’intelligence iraniana per attività di sorveglianza mirata. Il punto che interessa anche le aziende italiane è semplice: l’attacco non parte da una falla “sofisticata”, ma da un messaggio credibile che induce una persona ad aprire un file apparentemente legittimo, spesso fuori dai controlli aziendali.
Per una PMI questo significa che la prima difesa non è solo il software di sicurezza, ma la combinazione di procedure, dispositivi gestiti e formazione. Quando un malware riesce a rubare messaggi, email, screenshot e perfino audio dal microfono, il rischio non è limitato al singolo utente: può trasformarsi in perdita di dati, esposizione di contatti, danno reputazionale e blocco operativo.
Che cosa è emerso dalle autorità
Secondo l’advisory congiunto diffuso il 15 settembre 2026 dal National Cyber Security Centre britannico, dall’FBI e dal servizio di intelligence olandese AIVD, il malware è stato impiegato contro dissidenti, giornalisti e attivisti in diversi Paesi. L’FBI lo identifica come HEAVYGRAM, mentre il NCSC usa il nome CHOSEN BRICK.
L’attribuzione indicata nelle fonti punta al Ministero dell’Intelligence e della Sicurezza dell’Iran (MOIS). L’FBI collega la campagna più ampia all’autunno del 2023 e afferma che il malware è stato utilizzato almeno dal 2025 contro persone nel Regno Unito, negli Stati Uniti, nei Paesi Bassi e altrove.
Il bersaglio principale descritto dalle agenzie non sono le aziende in quanto tali, ma persone considerate di interesse dal regime iraniano. Tuttavia il messaggio operativo per le imprese è importante: gli aggressori cercano spesso di entrare prima da un computer di lavoro e, se non ci riescono, provano a spostare l’attacco su un dispositivo personale, meno protetto dai controlli aziendali.
Come funziona l’attacco in pratica
L’infezione inizia quasi sempre con un contatto diretto su app di messaggistica, in particolare WhatsApp o Telegram. L’aggressore si presenta come una persona conosciuta dalla vittima oppure come un presunto supporto tecnico. Dopo aver costruito fiducia, invia un file che sembra un programma autentico.
Le esche citate nelle fonti includono nomi molto noti: Pictory, KeePass, Telegram, RunwayML, Norton Antivirus e Adobe Flash Player. In alcuni casi il file è stato perfino mascherato come risultato di una risonanza magnetica. È una tecnica tipica di social engineering: non punta sulla curiosità generica, ma su un contesto plausibile e urgente.
Quando il file viene aperto, mostra una schermata falsa ma convincente, coerente con il programma promesso. Nel frattempo installa il malware reale in background. Una volta attivo, CHOSEN BRICK stabilisce la persistenza su Windows aggiungendosi a una chiave Run del Registro, in modo da riavviarsi a ogni login.
Le agenzie segnalano inoltre che il malware modifica le impostazioni di Microsoft Defender per escludere alcune cartelle dalla scansione. È un dettaglio rilevante: indica che l’attacco non si limita a “rubare qualcosa e scappare”, ma tenta di restare nascosto abbastanza a lungo da continuare la raccolta di informazioni.
Perché Telegram è al centro del caso
L’elemento più particolare è l’uso di Telegram come canale di comando e controllo. Ogni computer compromesso viene associato a un bot dedicato, così da separare le attività delle diverse vittime. In questo modo l’attaccante impartisce comandi e riceve dati rubati usando un’infrastruttura che, a prima vista, può confondersi con traffico verso un servizio legittimo.
Per le aziende c’è una lezione chiara: non tutto il traffico verso piattaforme note è innocuo. Se un’organizzazione consente liberamente l’uso di strumenti consumer di messaggistica senza monitoraggio, può rendere più difficile distinguere l’attività normale da quella malevola.
Le versioni più recenti, secondo l’advisory, instradano inoltre il traffico Telegram tramite proxy per nascondere ulteriormente l’operazione. I dati sottratti possono essere inviati anche attraverso servizi cloud come Vultr e Storj.
Che cosa può fare il malware una volta installato
Le capacità descritte dalle autorità sono tipiche dello spyware, ma sufficientemente ampie da creare un danno serio anche in contesti aziendali. CHOSEN BRICK può:
- raccogliere informazioni sul sistema;
- elencare i processi in esecuzione;
- catturare screenshot;
- attivare il microfono per registrare audio;
- sottrarre contenuti email;
- copiare dati di Telegram e WhatsApp dal browser;
- rubare password salvate e indirizzi email;
- scaricare altri componenti malevoli;
- cancellare file.
Almeno una variante, secondo le fonti, è in grado anche di cancellare completamente il sistema. Questo sposta il rischio dalla sola riservatezza alla continuità operativa: non si parla quindi soltanto di spionaggio, ma anche di possibile sabotaggio del dispositivo compromesso.
Le autorità precisano che il malware non è stato osservato mentre si diffonde autonomamente nella rete interna. È un’informazione utile, ma non rassicurante: se colpisce un utente con accesso a documenti, email, archivi cloud o credenziali condivise, il danno può comunque propagarsi per vie indirette.
Gli indicatori tecnici da non ignorare
Le fonti riportano alcuni segnali che i team IT dovrebbero verificare, sapendo però che non vanno trattati come elenco esaustivo. Tra questi:
- voci sospette nella chiave Run del Registro, con nomi come SMQDService o winappx;
- la presenza di file in un percorso anomalo come C:\Windows \SysWOW64 con uno spazio aggiuntivo nella directory;
- connessioni inattese verso domini e servizi come api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com e lightningproxies.net;
- mutex con nomi specifici indicati nelle analisi tecniche.
Per un’azienda non basta “sapere gli IoC”. Serve la capacità di leggerli nei log, correlarli e reagire rapidamente. È il motivo per cui gestione centralizzata degli endpoint, monitoraggio e procedure di risposta fanno la differenza più del semplice antivirus installato una volta per tutte.
Perché questa vicenda riguarda anche una PMI italiana
Potrebbe sembrare una notizia lontana, riservata a casi geopolitici o a figure ad alta esposizione. In realtà il meccanismo dell’attacco è molto comune e perfettamente riutilizzabile contro dirigenti, amministrazione, studi professionali, ufficio commerciale o risorse umane.
Chi attacca non ha necessariamente bisogno di sfruttare vulnerabilità complesse. Gli basta convincere una persona a eseguire un file “utile”, magari su un portatile personale usato anche per lavoro. Se in quel dispositivo transitano email aziendali, credenziali salvate, documenti sensibili o accessi a piattaforme cloud, il perimetro reale dell’azienda è già stato superato.
Inoltre il fatto che i dati rubati possano essere pubblicati o usati per intimidazione ricorda un aspetto spesso trascurato: una compromissione può trasformarsi in pressione reputazionale, non solo in furto silenzioso.
Cosa significa per la tua azienda
La contromisura più efficace non è una singola tecnologia, ma un insieme di decisioni pratiche.
Primo: riduci al minimo i dispositivi non gestiti. Se il personale usa PC personali per attività di lavoro, stai creando una zona cieca. Una buona base è adottare criteri di gestione centralizzata delle postazioni e degli aggiornamenti, con strumenti di desktop IT management.
Secondo: blocca l’esecuzione indiscriminata di software. Le autorità raccomandano approcci come application allowlisting e controlli sui device gestiti. In termini semplici: non tutti devono poter installare qualsiasi programma scaricato da una chat.
Terzo: attiva MFA resistente al phishing dove possibile. Non elimina il rischio del malware già eseguito, ma riduce l’impatto del furto di credenziali e rende più difficile l’accesso ai servizi cloud.
Quarto: forma il personale su scenari realistici, non su esempi astratti. Un messaggio che finge assistenza tecnica, un file inviato da un contatto “amico”, un programma noto distribuito fuori dai canali ufficiali: sono casi da provare con campagne di sensibilizzazione concrete.
Quinto: monitora e filtra il traffico verso servizi legittimi ma sensibili. Se in azienda Telegram non è uno strumento necessario, valuta restrizioni o almeno controlli mirati. La stessa attenzione va riservata a servizi cloud usati per esfiltrazione.
Sesto: prepara il recupero prima dell’incidente. Se una variante può cancellare file o compromettere una postazione in profondità, serve una strategia di copie di sicurezza verificabili e separate dall’endpoint. Un servizio di remote backup riduce tempi di fermo e danni economici.
Settimo: considera il profilo privacy e conformità. Se dal PC di un dipendente escono email, contatti, registrazioni audio o documenti con dati personali, il tema non è solo tecnico: entrano in gioco obblighi organizzativi e documentali legati al GDPR. In questi casi è utile avere un riferimento anche sul fronte GDPR.
Una lezione più ampia: il confine tra personale e aziendale non esiste più
Questo caso mostra bene un problema ormai strutturale: l’attaccante non distingue tra identità privata e professionale della vittima. Se trova resistenza sul computer dell’ufficio, prova sul dispositivo personale. Se non riesce via email, usa la messaggistica. Se non può contare su infrastrutture dedicate, sfrutta piattaforme legittime e popolari.
Per le PMI italiane il punto non è inseguire ogni singola minaccia internazionale, ma costruire un ambiente dove un errore umano non diventi automaticamente un incidente grave. Governance dei dispositivi, aggiornamenti, backup, MFA e consapevolezza del personale restano le difese che offrono il miglior ritorno concreto.
Domande frequenti
CHOSEN BRICK colpisce solo Windows?
Secondo le fonti pubblicate il 15 e 16 settembre 2026, tutte le varianti osservate finora funzionano su Windows.
Se uso Telegram in azienda sono automaticamente a rischio?
No. Il problema non è Telegram in sé, ma l’uso di file ricevuti tramite messaggi e la possibilità che il traffico verso servizi legittimi nasconda attività malevole.
Un antivirus basta a fermare questo tipo di attacco?
Da solo no. Le fonti indicano che il malware tenta anche di eludere Microsoft Defender. Servono controllo delle installazioni, dispositivi gestiti, MFA, formazione e backup affidabili.