CHOSEN BRICK: איראן עקבה אחרי יריבים ברחבי העולם. מה בסיפור הזה מקשר את טהרן עם רוסיה

15 בספטמבר 2026 בריטניה, ארה”ב והולנד חשפו פרטים על מבצע איראני נגד אנשים שהרשויות של הרפובליקה האסלאמית רואים בהם מסוכנים למשטר. בין המטרות – מתנגדים, פעילים פוליטיים ועיתונאים, החיים לא רק באיראן. המחשבים שלהם נדבקו בתוכנת ריגול CHOSEN BRICK, ולאחר מכן המפעיל קיבל גישה להתכתבויות, צילומי מסך, מיקרופון ונתונים אחרים המאפשרים לשחזר את חיי היומיום של האדם בצורה די מפורטת.

מחבר — אנטון פשדינסקי

אזהרה פומבית פורסמה על ידי המרכז הלאומי לאבטחת סייבר הבריטי, ה-FBI האמריקאי וה-AIVD ההולנדי. הבריטים מדברים על מפעילי סייבר מדינתיים איראניים, וה-FBI מקשר את הקמפיין למשרד המודיעין והביטחון הלאומי של איראן – MOIS. באטריבוציה שפורסמה ב-15 בספטמבר אין שירותי ביון רוסיים, אין מפתחים רוסים ואין מסקנה על מקור רוסי של CHOSEN BRICK. זה הדבר הראשון שצריך לתעד לפני שמחפשים את העקבות הרוסיים הלאה.

ובכל זאת, רוסיה מופיעה בהמשך. ולא פעם אחת ולא כרמז אנונימי בטלגרם: טכנולוגיות מעקב רוסיות כבר הגיעו למבנים מדינתיים איראניים, שיתוף הפעולה של שירותי הביון מעוגן בהסכם, ובשנת 2026 המודיעין האוקראיני דיווח כבר על אינטראקציה של קבוצות סייבר רוסיות ואיראניות סביב התקפות על ישראל. זה לא מספיק כדי לשכתב את האטריבוציה של ה-FBI. אבל זה מספיק כדי להסתכל בזהירות על איזו מערכת טהראן בנתה סביב כלי כזה.

בהתחלה מכירים את האדם

CHOSEN BRICK לא מיועד להפצה המונית על פי עקרון ‘מישהו ילחץ’. לפני ההתקפה, המפעילים לומדים את הקורבן הספציפי, את תחומי העניין שלו, את עבודתו ואת סביבתו, ואז יוצרים קשר דרך מסרים מיידיים. הם יכולים להציג את עצמם כאדם מוכר או כעובד תמיכה טכנית, לשוחח בצורה נורמלית לזמן מה ורק אז לשלוח קובץ שנראה מתאים לשיחה זו.

הפתיונות היו שונים, לפעמים כמעט לועגים ביומיום. NCSC גילה קבצים שהתחזו ל-Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass, ובאחד התרחישים נשלחו לאדם תוצאות MRI לכאורה. אם המחשב בעבודה לא אפשר לפתוח את הקובץ, ניסו לשכנע את הקורבן לעבור למחשב הביתי – שם ההגנה הארגונית כבר לא הפריעה.

לאחר ההפעלה, המשתמש ראה חלון תוכנה או מסמך אמין, ומאחוריו כבר התחילה חיים אחרים של המחשב. במקרים שנצפו על ידי הבריטים, נדבקו מכשירי Windows; הנוזקה התמקמה באתחול אוטומטי, שרדה אתחול מחדש ויכלה להוסיף קטלוגים משלה לחריגים של Microsoft Defender. לניהול השתמשו בבוטים של טלגרם, ולכל קורבן יכול היה להיות מוקצה Bot ID משלו – דרך די מדויקת לא לחשוף פעולות שכנות במקרה של כישלון אחת.

האפשרויות בהמשך כבר לא דומות לגניבת סיסמאות רגילה. CHOSEN BRICK יכול לצלם צילומי מסך, להפעיל מיקרופון, לקחת דואר אלקטרוני, נתוני טלגרם ו-WhatsApp מהדפדפן, להוריד קבצים נוספים ולמחוק מידע. באחד מהווריאנטים שנחקרו הייתה אפילו פונקציה להשמדת נתונים במחשב.

למה שירותי הביון צריכים את צילומי המסך והמיקרופון שלך

כאן נמצאת החלק הלא נעים של הסיפור הזה. אם המפעיל מקבל במשך שבועות תמונות מסך, הודעות, אנשי קשר וצליל מהמיקרופון, הוא לא חייב לחפש מסמך אחד סודי במיוחד. בהדרגה מתגלה משהו אחר: מי הם חבריך, היכן אתה נמצא, עם מי אתה נפגש, מתי אתה עובד, למי אתה סומך ובאיזה זמן אתה בדרך כלל בבית.

NCSC כותב במפורש על האפשרות לקבוע אנשי קשר, מיקום ו-pattern of life, כלומר קצב החיים הרגיל של האדם. השירות הבריטי מזכיר במיוחד כי מבני המודיעין האיראניים הכינו בעבר חטיפות ופעולות קטלניות מחוץ לאיראן נגד אנשים שנחשבו אויבי המשטר. לכן פרסום נתונים אישיים של חלק מהנדבקים במשאבים פרו-איראניים נראה כבר לא רק כהטרדה אינטרנטית: הוא יכול להעלות את הסיכון הפיזי לקורבן.

כאן ריגול סייבר מפסיק להיות נושא משעמם למנהלי מערכות. כאשר המדינה יודעת היכן האדם גר, עם מי הוא מתקשר וכיצד עובר יומו, הלחץ הנוסף כבר יכול להתרחש בכלל ללא מחשב.

ל-FBI יש שם אחר – HEAVYGRAM, וכאן יש הבדל חשוב בתאריכים

במקביל לאזהרה הבריטית, ה-FBI פרסם דוח טכני בן 55 עמודים. בו התוכנה הזדונית שנחקרה נקראת HEAVYGRAM, ו-NCSC נותן קישור למסמך זה כאנליזה טכנית נוספת של הקמפיין הנוכחי. ה-FBI חקר שבע דוגמאות ומקשר את השימוש בהן למפעילי MOIS.

כאן אי אפשר להדביק בשקט שני תאריכים. NCSC מדווח כי משפחת CHOSEN BRICK משמשת נגד אנשים ברחבי העולם לפחות מאז שנת 2025. ה-FBI, מצדו, כותב כי הווריאנטים שנחקרו על ידו של HEAVYGRAM שימשו על ידי מפעילים איראניים כבר מאז סתיו 2023. כלומר, הקו הטכני הולך עמוק יותר, אך לא ניתן לטעון על סמך זה ש-CHOSEN BRICK תחת השם הנוכחי פעל כבר ב-2023.

הדו”ח של ה-FBI מראה היטב שמדובר לא ביצירה חד פעמית. בין הדוגמאות שנחקרו יש מתקין מזויף של Pictory Premium ותוכנית שהתחזתה ל-Telegram Authenticator; חלק מהמרכיבים נכתבו ב-Delphi, אחרים משתמשים ב-Python, PyInstaller ו-Visual C++. בדוגמאות המפורקות ה-FBI גילה שמות משתנים זהים, שלפי הערכת המשרד עשויים להצביע על מחבר אחד או בסיס קוד משותף.

ה-FBI לא מראה טביעת אצבע רוסית בחלק הטכני הזה. לא Turla, לא שרת רוסי, ולא בסיס קוד רוסי מוזכרים שם. כאן ניתן היה לשים נקודה – אם לא היו מצטברים כבר די הרבה עובדות אחרות סביב מערכת המעקב האיראנית.

בשנת 2025 המודיעין של רוסיה ואיראן עיגנו את חילופי הניסיון על הנייר

ב-17 בינואר 2025 מוסקבה וטהראן חתמו על הסכם שותפות אסטרטגית מקיפה. סעיף 4 נוסח ללא עשן דיפלומטי מיוחד: שירותי המודיעין ושירותי הביטחון של שתי המדינות מחליפים מידע וניסיון ומגבירים את רמת שיתוף הפעולה. זהו הטקסט הרשמי של ההסכם, ולא הערכה של מרכז אנליטי מערבי.

ההסכם עצמו לא אומר דבר על CHOSEN BRICK ובוודאי לא מוכיח את העברת קוד המקור שלו ממוסקבה לטהראן. אבל אחרי סעיף זה קשה להציג את מערכות המודיעין הרוסיות והאיראניות כעולמות נפרדים לחלוטין, העוסקים במקרה במשימות דומות.

והשיתוף פעולה התחיל מוקדם יותר. CSIS מזכיר את ההסכם משנת 2021 על אבטחת מידע, אספקת טכנולוגיות מעקב וצנזורה דיגיטליות רוסיות בשנים 2022–2023, ביקורים של נציגי מבני סייבר מדינתיים איראניים באוניברסיטאות רוסיות והשתתפות של חברות הקשורות ל-MOIS באירועים רוסיים על אבטחת סייבר. עם זאת, מחברי CSIS עצמם מזהירים מפני הטיה אחרת: הראיות לפיתוח משותף של יכולות סייבר התקפיות גדולות עדיין הרבה פחות ממה שלפעמים נובע מכותרות רועשות.

למחבר החדשות של אנטון פטרצ’ון כאן עובר הגבול המועיל. שיתוף הפעולה הרוסי-איראני בתחום המעקב כבר אינו השערה, אך המחבר הרוסי של המרגל הנוכחי נשאר השערה ללא הוכחה טכנית. אם מערבבים את שני הדברים האלה, החקירה תהפוך לחלשה יותר, למרות שהכותרת החיצונית תהיה חזקה יותר.

FindFace הרוסי כבר הגיע למכשיר המעקב האיראני

באביב 2026 הופיע דוגמה הרבה יותר קונקרטית. חקירה של Forbidden Stories, Le Monde, Der Spiegel, ZDF ו-Paper Trail Media הראתה כיצד איראן קיבלה את מערכת זיהוי הפנים הרוסית FindFace, שפותחה על ידי NtechLab. העסקה החלה כבר ב-2019 דרך Rasadco האיראנית, ולאחר שינויים תאגידיים שלאחר מכן הטכנולוגיה הופצה בין מבנים מדינתיים איראניים, כולל משרד המודיעין.

FindFace אינו CHOSEN BRICK, ולהחליף אחד בשני יהיה טיפשי. אבל הפונקציות משלימות היטב: מערכת אחת עוזרת לחפש אדם באמצעות מצלמות ותמונות, השנייה חודרת למחשב שלו, קוראת הודעות ואוספת את סביבתו. עבור מדינה שעוסקת באופן שיטתי בחיפוש מתנגדים, זה כבר לא אוסף של מוצרי IT אקראיים, אלא סט אפשרויות די ברור.

זו הסיבה ש-חדשות ישראל — Nikk.Agency מסתכלים על הסיפור הזה בו זמנית מישראל ואוקראינה: שיתוף הפעולה הרוסי-איראני כבר מזמן הפסיק להיות סיפור דו-צדדי של מוסקבה וטהראן, השלכותיו צצות גם במלחמה נגד אוקראינה, בהתקפות על תשתיות ישראליות, ועכשיו – בכלים לציד אנשים מחוץ לאיראן.

Handala: כאן הסיפור כבר מתקרב לישראל

ב-19 במרץ משרד המשפטים של ארה”ב הודיע על החרמת ארבעה דומיינים ששימשו, על פי נתוני החקירה האמריקאית, במבצעי MOIS. ביניהם היו משאבי Handala Hack. ה-FBI גילה תשתית משותפת בין האתרים, טווחי IP איראניים וסט שיטות משותף: פריצה, פרסום מידע גנוב, איומים ופעולות פסיכולוגיות.

החלק הלא נעים במיוחד נוגע לישראל. עד ה-9 במרץ אחד ממשאבי Handala פרסם שמות ונתונים אישיים רגישים של כ-190 אנשים הקשורים לצה”ל או לממשלת ישראל. הפרסום לווה בטענות כי האנשים הללו נמצאים תחת מעקב ומקומות מגוריהם ידועים; בהודעה אחרת Handala טענה כי היא יודעת את המיקום המדויק של מטרות מסוימות.

אחרי כזה צירוף מילים ‘דליפת נתונים’ נשמע סטרילי מדי. אם אחרי אדם עוקבים תחילה דיגיטלית, ואז מפרסמים את פרטיו, ולאחר מכן פונים לתומכי המשטר עם איומים, הקו בין מבצע סייבר להכנת לחץ בעולם האמיתי הופך לדק.

ואוקראינה כבר באביב דיברה על קשרים רוסיים עם Handala

ב-7 באפריל רויטרס פרסם את תוכן הערכת המודיעין האוקראינית, לפיה רוסיה סיפקה לאיראן נתוני לוויין ותמיכה בסייבר במהלך המלחמה במזרח התיכון. במסמך נטען כי קבוצות רוסיות ואיראניות אינטראקציה דרך טלגרם, ובין המשתתפים שנקראו הופיעו Handala Hack, Z-Pentest Alliance, NoName057(16) ו-DDoSia Project. המשתתפים הרוסים, לפי הערכה זו, שיתפו גישות ושיטות טכניות, שיכלו לשמש לאחר מכן נגד תשתיות אנרגיה ישראליות ואחרות.

כאן נדרשת הסתייגות כפולה. רויטרס ראה את המסמך האוקראיני עצמו, אך לא הצליח לאמת באופן עצמאי את כל המסקנות הטכניות המפורטות שם; מוסקבה דחתה את ההאשמות. מאוחר יותר CSIS גם הגיע למסקנה שהדיווחים על שיתוף פעולה סייבר רוסי-איראני יש להם בסיס ממשי, אך בסיס הראיות למבצעים התקפיים מתואמים היטב עדיין דק.

כבר ניתחנו את הסיפור הזה בפירוט ב-חומר החדשות על עזרת המודיעין והסייבר הרוסית לאיראן. שם הניסיון האוקראיני חשוב לא בשביל מקבילה יפה: רוסיה עבדה במשך שנים נגד אוקראינה על שילוב של מודיעין, תקיפות על אנרגיה, לחץ על תשתיות אזרחיות והתקפות דיגיטליות, ובאביב 2026 אלמנטים דומים החלו להופיע כבר בדיווחים על עזרה לטהראן.

לישראל יש גם הקשר שני. ביולי סיפרנו על דוח מבקר המדינה של ישראל על השפעה זרה של רוסיה ואיראן בסביבה הדיגיטלית. זהו סוג אחר של מבצעים, אך הפגיעות היא אותה אחת: הטלפון והמחשב הפכו מזמן לחלק משדה הקרב, אפילו כאשר האדם יושב בבית ולא רואה את עצמו כמשתתף באיזשהו סכסוך.

ובכל זאת יש אפיזודה ישנה אחת, שלאחריה אי אפשר פשוט ללעוג לגרסה הרוסית

בשנת 2019 ה-NCSC הבריטי יחד עם ה-NSA האמריקאי סיפרו על מבצע Turla – קבוצה שהצד הבריטי ראה כקשורה לרוסיה. Turla קיבלה גישה לכלים האיראניים Neuron ו-Nautilus, לחומרים קריפטוגרפיים ולתשתית, ולאחר מכן החלה להשתמש באפשרויות אלו כבר במבצעים שלה. המפתחים האיראניים, לפי הערכת NCSC, כמעט בוודאות לא ידעו שהרוסים משתמשים בהשתלות שלהם.

וזה לא נגמר כאן. Turla חדרה לתשתית APT האיראנית, לקחה משם קבצים, נתוני מקלדת, מידע על קורבנות פעילים ונתוני חשבון. כתוצאה מכך, המפעילים הרוסים קיבלו מספיק מידע כדי לאסוף ולהשתמש בווריאנטים של הכלים האיראניים באופן עצמאי מהתשתית המקורית של טהראן.

לסיפור הנוכחי זה לא הוכחה, אלא תקדים. הוא מראה שתסריט שבו שירות רוסי נמצא בתוך האקוסיסטמה הסייבר האיראנית ומשתמש בכלים שלה כבר התרחש במציאות. אבל בחומרים שפורסמו ב-15 בספטמבר על CHOSEN BRICK ו-HEAVYGRAM אין עדיין חפיפה טכנית דומה עם Turla.

מה בסופו של דבר אפשר לטעון, ומה אי אפשר

תוכנת הריגול האיראנית CHOSEN BRICK, הניתוח הטכני של HEAVYGRAM, MOIS, Handala Hack ושיתוף הפעולה הרוסי-איראני נמצאים כעת בסיפור גדול אחד. עם זאת, ‘נמצאים ליד’ עדיין לא אומר ‘נוצרו על ידי מרכז אחד’. השירותים הבריטיים, האמריקאיים וההולנדיים היום מייחסים את הקמפיין הנוכחי לאיראן, ואין בסיסים ציבוריים לשכתב את האטריבוציה הזו לרוסיה.

אבל כבר יש חלקים אחרים, די מוצקים. רוסיה סיפקה לאיראן טכנולוגיות מעקב; FindFace הגיע למבני המשטר, כולל המכשיר המודיעיני; מוסקבה וטהראן עיגנו רשמית את חילופי המידע והניסיון בין שירותי הביטחון. המודיעין האוקראיני דיווח על אינטראקציה של קבוצות רוסיות עם Handala, אם כי חלק זה דורש בדיקה עצמאית נוספת, והסיפור של Turla מראה שמפעילים רוסים אכן חדרו בעבר לתוך מבצעי סייבר איראניים.

לכן השאלה ‘CHOSEN BRICK נכתבה על ידי רוסים?’ כרגע מוצבת בצורה לא נכונה. הרבה יותר מועיל לברר איזו חלק מהמערכת המודרנית של מעקב MOIS איראן פיתחה בעצמה, אילו אפשרויות קיבלה דרך חברות רוסיות ושיתוף פעולה בין-מדינתי, והאם יש לשכבת המבצע הנוכחית שכבה טכנית שעדיין לא נחשפה על ידי NCSC, FBI ו-AIVD.

אין לנו תשובה לאחרון. אבל אחרי FindFace, הסכם שירותי הביטחון, סיפור Handala והמקרה הישן של Turla, אי אפשר כבר לפטור את השאלה הזו כקונספירולוגיה.