CHOSEN BRICK: Іран стежив за противниками по всьому світу. Що в цій історії пов’язує Тегеран з росією

15 вересня 2026 року Британія, США та Нідерланди розкрили подробиці іранської операції проти людей, яких влада Ісламської Республіки вважає небезпечними для режиму. Серед цілей — дисиденти, політичні активісти та журналісти, які живуть не лише в Ірані. Їхні комп’ютери заражали шпигунським ПЗ CHOSEN BRICK, після чого оператор отримував доступ до переписки, знімків екрану, мікрофону та інших даних, що дозволяють досить детально відновити повсякденне життя людини.

Автор — Антон Пшедынський

Публічне попередження випустили британський National Cyber Security Centre, американське FBI та нідерландська AIVD. Британці говорять про іранських державних кібероператорів, а FBI пов’язує кампанію з Міністерством розвідки та національної безпеки Ірану — MOIS. В опублікованій 15 вересня атрибуції немає ні російських спецслужб, ні російських розробників, ні висновку про російське походження CHOSEN BRICK. Це перше, що доводиться зафіксувати, перш ніж шукати російський слід далі.

І все ж далі Росія з’являється. Причому не один раз і не у вигляді анонімного телеграм-натяку: російські технології спостереження вже потрапляли до іранських державних структур, співпраця спецслужб закріплена договором, а в 2026 році українська розвідка повідомляла вже про взаємодію російських та іранських кібергруп навколо атак на Ізраїль. Цього недостатньо, щоб переписати атрибуцію FBI. Але достатньо, щоб уважно подивитися, яку систему Тегеран будував навколо такого інструменту.

Спочатку з людиною знайомляться

CHOSEN BRICK розрахований не на масову розсилку за принципом «хтось та натисне». Перед атакою оператори вивчають конкретну жертву, її інтереси, роботу та оточення, а потім виходять на зв’язок через месенджери. Вони можуть представитися знайомою людиною або співробітником технічної підтримки, деякий час нормально розмовляти і лише потім надіслати файл, який виглядає цілком доречно саме в цій бесіді.

Приманки були різні, іноді майже знущально побутові. NCSC виявив файли, які видавали себе за Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass, а в одному зі сценаріїв людині надіслали нібито результати МРТ. Якщо робочий комп’ютер не дозволяв відкрити файл, жертву намагалися переконати перейти на домашній — там корпоративний захист вже не заважав.

Після запуску користувач бачив правдоподібне вікно програми або документа, а за ним вже починалося інше життя комп’ютера. У спостережених британцями випадках заражалися Windows-пристрої; шкідливе ПЗ закріплювалося в автозавантаженні, переживало перезавантаження і могло додавати власні каталоги в виключення Microsoft Defender. Для управління використовувалися Telegram-боти, причому окремій жертві міг призначатися власний Bot ID — досить акуратний спосіб не засвітити сусідні операції при провалі однієї.

Далі можливості вже мало схожі на звичайну крадіжку пароля. CHOSEN BRICK вміє робити скріншоти, вмикати мікрофон, забирати електронну пошту, дані Telegram і WhatsApp з браузера, завантажувати додаткові файли та видаляти інформацію. В одному з досліджених варіантів була навіть функція знищення даних на комп’ютері.

Навіщо спецслужбі ваші скріншоти і мікрофон

Тут і знаходиться неприємна частина цієї історії. Якщо оператор тижнями отримує зображення екрану, повідомлення, контакти і звук з мікрофону, йому не обов’язково шукати якийсь один страшно секретний документ. Поступово складається інше: хто ваші друзі, де ви буваєте, з ким зустрічаєтеся, коли працюєте, кому довіряєте і в який час зазвичай опиняєтеся вдома.

NCSC прямо пише про можливість визначити контакти, місцезнаходження і pattern of life, тобто звичайний ритм життя людини. Британська служба окремо нагадує, що іранські розвідувальні структури раніше готували за межами Ірану викрадення і смертоносні операції проти людей, яких вважали ворогами режиму. Тому публікація персональних даних деяких заражених на проіранських ресурсах виглядає вже не просто як інтернет-травля: вона здатна підвищити фізичний ризик для жертви.

Саме тут кібершпигунство перестає бути нудною темою для системних адміністраторів. Коли держава знає, де людина живе, з ким спілкується і як проходить її день, подальший тиск вже може відбуватися взагалі без комп’ютера.

У FBI інша назва — HEAVYGRAM, і тут є важлива різниця в датах

Одночасно з британським попередженням FBI випустило 55-сторінковий технічний звіт. У ньому досліджене шкідливе ПЗ називається HEAVYGRAM, а NCSC прямо дає на цей документ посилання як на додатковий технічний аналіз нинішньої кампанії. FBI досліджувало сім зразків і пов’язує їх застосування з операторами MOIS.

Тут не можна непомітно склеїти дві дати. NCSC повідомляє, що сімейство CHOSEN BRICK застосовується проти людей по всьому світу як мінімум з 2025 року. FBI, зі свого боку, пише, що досліджені ним варіанти HEAVYGRAM використовувалися іранськими операторами ще з осені 2023 року. Тобто технічна лінія йде глибше, однак стверджувати на підставі цього, що саме CHOSEN BRICK під нинішньою назвою працював вже в 2023-му, ми не можемо.

Звіт FBI зате добре показує, що перед нами не одноразова підробка. Серед вивчених зразків є підроблений інсталятор Pictory Premium і програма, що зображала Telegram Authenticator; частина компонентів написана на Delphi, інші використовують Python, PyInstaller і Visual C++. У декомпільованих зразках FBI виявило однакові імена змінних, що, за оцінкою бюро, може вказувати на одного автора або загальну кодову основу.

Російського відбитка в цій технічній частині FBI не показує. Ні Turla, ні російський сервер, ні російська кодова база там не названі. Ось тут можна було б поставити крапку — якби навколо іранської системи спостереження не накопичилося вже досить багато інших фактів.

У 2025 році розвідки Росії та Ірану закріпили обмін досвідом на папері

17 січня 2025 року Москва і Тегеран підписали Договір про всеосяжне стратегічне партнерство. Стаття 4 сформульована без особливої дипломатичної димки: розвідувальні служби і служби безпеки двох держав обмінюються інформацією і досвідом і підвищують рівень співпраці. Це офіційний текст договору, а не оцінка західного аналітичного центру.

Сам договір нічого не говорить про CHOSEN BRICK і тим більше не доводить передачу його вихідного коду з Москви в Тегеран. Але після цієї статті важко зображати російську та іранську розвідувальні системи абсолютно окремими світами, які випадково зайняті схожими завданнями.

Причому співпраця почалася раніше. CSIS нагадує про угоду 2021 року з інформаційної безпеки, постачання в 2022–2023 роках російських технологій цифрового спостереження і цензури, візити представників іранських державних кіберструктур в російські університети і участь пов’язаних з MOIS компаній в російських заходах з кібербезпеки. При цьому самі автори CSIS застерігають від іншого перекосу: доказів саме спільної розробки великих наступальних кіберможливостей поки набагато менше, ніж іноді випливає з гучних заголовків.

Для автора НАновости Антона Peterchun тут якраз проходить корисна межа. Російсько-іранська співпраця в області спостереження вже не припущення, а ось російське авторство нинішнього шпигуна залишається припущенням без технічного доказу. Якщо ці дві речі змішати, розслідування стане слабшим, хоча зовні заголовок вийде гучнішим.

Російський FindFace вже опинився у іранського апарату спостереження

Навесні 2026 року з’явився куди більш предметний приклад. Розслідування Forbidden Stories, Le Monde, Der Spiegel, ZDF і Paper Trail Media показало, як Іран отримав російську систему розпізнавання облич FindFace, розроблену NtechLab. Угода починалася ще в 2019 році через іранську Rasadco, а після наступних корпоративних перетворень технологія поширювалася серед державних структур Ірану, включаючи Міністерство розвідки.

FindFace — не CHOSEN BRICK, і підміняти одне іншим було б нерозумно. Але функції добре доповнюються: одна система допомагає шукати людину по камерах і зображеннях, інша залазить в його комп’ютер, читає повідомлення і збирає оточення. Для держави, яке системно займається пошуком опонентів, це вже не розсип випадкових IT-продуктів, а досить зрозумілий набір можливостей.

Ось чому НАновости — Новини Ізраїлю | Nikk.Agency дивляться на цей сюжет одночасно з Ізраїлю та України: російсько-іранська співпраця давно перестала бути двосторонньою історією Москви і Тегерана, його наслідки спливають і у війні проти України, і в атаках на ізраїльську інфраструктуру, і тепер — в інструментах полювання на людей за межами Ірану.

Handala: тут історія вже підходить впритул до Ізраїлю

19 березня Мін’юст США повідомив про вилучення чотирьох доменів, які використовувалися, за даними американського слідства, в операціях MOIS. Серед них були ресурси Handala Hack. FBI виявило між сайтами загальну інфраструктуру, іранські IP-діапазони і загальний набір методів: злом, публікація вкраденої інформації, загрози і психологічні операції.

Особливо неприємна частина стосується Ізраїлю. До 9 березня один з ресурсів Handala опублікував імена і чутливі персональні дані приблизно 190 осіб, пов’язаних з ЦАХАЛом або урядом Ізраїлю. Публікація супроводжувалася твердженнями, що за цими людьми спостерігають і місця їх проживання відомі; в іншому повідомленні Handala заявляла, що знає точне місцезнаходження окремих цілей.

Після такого словосполучення «витік даних» звучить занадто стерильно. Якщо за людиною спочатку цифрово спостерігають, потім викладають його відомості, а слідом за цим звертаються до прихильників режиму з погрозами, лінія між кібероперацією і підготовкою тиску в реальному світі стає тонкою.

А Україна ще навесні говорила про російські контакти з Handala

7 квітня Reuters опублікував зміст української розвідувальної оцінки, згідно з якою Росія надавала Ірану супутникові дані і кіберпідтримку під час війни на Близькому Сході. У документі стверджувалося, що російські та іранські групи взаємодіяли через Telegram, а серед названих учасників фігурували Handala Hack, Z-Pentest Alliance, NoName057(16) і DDoSia Project. Російські учасники, згідно з цією оцінкою, ділилися доступами і технічними методами, які потім могли використовуватися проти ізраїльської енергетичної та іншої інфраструктури.

Тут потрібна подвійна застереження. Reuters бачив сам український документ, але не зміг незалежно підтвердити всі викладені там технічні висновки; Москва звинувачення відкинула. Пізніше CSIS теж дійшов висновку, що повідомлення про російсько-іранське кіброспівробітництво мають реальну основу, однак доказова база саме по тісно координованим наступальним операціям поки залишається тонкою.

Ми вже докладно розбирали цю історію в матеріалі НАновости про російську розвідувальну і кібопомощь Ірану. Там український досвід важливий не для красивої паралелі: Росія роками відпрацьовувала проти України поєднання розвідки, ударів по енергетиці, тиску на цивільну інфраструктуру і цифрових атак, а навесні 2026 року схожі елементи почали з’являтися вже в повідомленнях про допомогу Тегерану.

Для Ізраїлю є і другий контекст. У липні ми розповідали про доповідь Державного контролера Ізраїлю про іноземний вплив Росії і Ірану в цифровому середовищі. Це інший клас операцій, однак вразливість одна і та ж: телефон і комп’ютер давно перетворилися в частину поля бою, навіть коли людина сидить вдома і взагалі не вважає себе учасником якогось конфлікту.

І все-таки є один старий епізод, після якого російську версію не можна просто висміяти

У 2019 році британський NCSC разом з американським NSA розповів про операцію Turla — групи, яку британська сторона вважала пов’язаною з Росією. Turla отримала доступ до іранських інструментів Neuron і Nautilus, криптографічних матеріалів і інфраструктури, а потім стала використовувати ці можливості вже в власних операціях. Іранські розробники, за оцінкою NCSC, майже напевно не знали, що росіяни використовують їх імпланти.

Причому цим справа не обмежилася. Turla проникла в інфраструктуру іранської APT, забрала звідти файли, дані кейлоггера, відомості про активні жертви і облікові дані. В результаті російські оператори отримали достатньо інформації, щоб збирати і застосовувати варіанти іранських інструментів незалежно від початкової інфраструктури Тегерана.

Для нинішньої історії це не доказ, а прецедент. Він показує, що сценарій, при якому російська служба опиняється всередині іранської кіберекосистеми і користується її інструментами, вже відбувався в реальності. Але в опублікованих 15 вересня матеріалах по CHOSEN BRICK і HEAVYGRAM схожого технічного перетину з Turla поки немає.

Що в підсумку можна стверджувати, а чого не можна

Іранське шпигунське ПЗ CHOSEN BRICK, технічний аналіз HEAVYGRAM, MOIS, Handala Hack і російсько-іранська співпраця тепер опинилися в одному великому сюжеті. Однак «опинилися поруч» ще не означає «створені одним центром». Британські, американські та нідерландські служби сьогодні атрибутують нинішню кампанію Ірану, і публічних підстав переписувати цю атрибуцію на Росію поки немає.

Зате вже є інші, цілком тверді шматки. Росія постачала Ірану технології спостереження; FindFace дійшов до структур режиму, включаючи розвідувальний апарат; Москва і Тегеран офіційно закріпили обмін інформацією і досвідом між службами безпеки. Українська розвідка повідомляла про взаємодію російських груп з Handala, хоча ця частина вимагає подальшої незалежної перевірки, а історія Turla показує, що російські оператори раніше дійсно проникали всередину іранських кібероперацій.

Тому питання «CHOSEN BRICK написали росіяни?» зараз поставлено неправильно. Набагато корисніше з’ясувати, яку частину сучасної системи стеження MOIS Іран розробив самостійно, які можливості отримав через російські компанії і міждержавне співробітництво, і чи існує у нинішньої операції технічний шар, який поки не розкрили NCSC, FBI і AIVD.

Відповіді на останнє у нас немає. Але після FindFace, договору спецслужб, історії Handala і старого кейсу Turla списувати це питання як конспірологію теж вже не виходить.