이란 국가 소속 해커들이 'CHOSEN BRICK'이라는 악성코드(malware, 악의적 목적으로 만들어진 프로그램)를 사용해 이란 정권에 비판적인 반체제 인사, 활동가, 언론인을 감시하고 있습니다. 공격자들은 WhatsApp, Telegram 같은 메신저로 접근해 신뢰를 쌓은 뒤, 악성 파일을 내려받도록 유도합니다. 악성코드가 설치되면 연락처·이메일·SNS 메시지·화면을 몰래 수집하며, 수집된 정보가 납치나 살해 음모에 활용된 사례도 있습니다. 영국 NCSC, 미국 FBI, 네덜란드 AIVD가 공동으로 경보를 발령했으며, 조직은 위험에 처할 수 있는 직원에게 이 경보를 공유하도록 권고하고 있습니다.
이란 국가 사이버 행위자들이 CHOSEN BRICK 악성코드를 이용해 영국·미국·네덜란드의 반체제 인사, 활동가, 언론인을 최소 2025년부터 표적으로 삼아 왔습니다.
감염된 기기에서 연락처·이메일·SNS 메시지·화면·마이크 등이 탈취되며, 수집된 정보가 납치·살해 음모에 쓰인 사례도 확인됐습니다. 탈취 데이터 일부는 친이란 정보 유출 사이트에 게재됐습니다.
공격자가 메신저(주로 WhatsApp·Telegram)에서 지인 또는 기술지원 담당자로 위장해 장기간 신뢰를 쌓은 뒤, Pictory·Norton·KeePass 등 정상 소프트웨어로 위장한 악성 파일을 설치하도록 유도합니다.
영국 NCSC·FBI·네덜란드 AIVD가 공동 권고문을 발표했으며, 감염이 의심될 경우 내부 또는 외부 IT 팀에 조사를 의뢰하도록 안내하고 있습니다. 조직은 위험에 노출될 수 있는 직원에게 권고문을 즉시 공유해야 합니다.
악성코드는 Microsoft Defender 예외 목록 추가와 레지스트리 Run 키를 이용해 재부팅 후에도 살아남으므로, 개인 기기 포함 전반적인 보안 점검이 필요합니다. 특히 이란 정권에 비판적 활동을 하는 임직원이 있다면 업무용·개인용 기기 모두 점검 대상입니다.
본문
이란 국가 사이버 행위자들이 정권에 위협적인 인물을 겨냥해 'CHOSEN BRICK'이라는 악성코드를 배포하고 있다고 서방 정보기관 세 곳이 경고했습니다. 이들은 소셜 메신저 앱을 통해 피해자에게 접근한 뒤 Windows 기기를 감염시킵니다.
영국 국가사이버보안센터(NCSC), FBI, 네덜란드 총정보보안국(AIVD)은 이 캠페인이 최소 2025년부터 영국·미국·네덜란드의 반체제 인사, 활동가, 언론인을 표적으로 삼아왔다고 밝혔습니다.
권고문은 다음과 같이 명시하고 있습니다. "CHOSEN BRICK은 이란 국가 사이버 행위자가 표적의 연락처, 이메일, SNS 메시지를 수집할 수 있게 하며, 이를 통해 피해자의 동선 추적이 가능해집니다."
"일부 사례에서 이란 정보기관은 정권의 적으로 간주하는 인물을 해외에서 납치하거나 살해하는 음모를 꾸미기도 했습니다."
공격이 시작되는 방식
캠페인은 주로 WhatsApp과 Telegram 등 메신저 플랫폼을 통한 접촉으로 시작됩니다. 공격자는 표적이 이미 알고 있는 사람이거나 해당 플랫폼의 기술지원 담당자인 척 위장하며, 악성 파일을 보내기 전에 시간을 들여 신뢰를 쌓습니다.
신뢰가 형성되면 표적을 설득해 파일을 내려받아 실행하게 합니다. 이 파일들은 Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass의 가짜 버전 등 정상 소프트웨어처럼 위장돼 있었습니다. 또 다른 사례에서는 MRI 검사 결과물로 위장하기도 했습니다.
유인 파일 예시 (출처: 공동 권고문)
기관들은 공격자들이 표적의 업무용 기기를 먼저 시도하는 경향이 있다고 밝혔습니다. 업무용 기기에서 실패하거나 탐지 위험이 높다고 판단되면, 직장의 보안 통제를 우회할 수 있는 개인 기기에서 파일을 열도록 유도합니다.
숨어서 재부팅 후에도 살아남도록 설계
악성코드는 Windows 시스템만 감염시킵니다. Microsoft Defender에 예외 항목을 추가해 탐지를 피하고, 레지스트리 키(주로 HKCU\Software\Microsoft\Windows\CurrentVersion\Run의 Run 키)를 이용해 재부팅 후에도 유지됩니다.
권고문은 이렇게 설명합니다. "이 키는 악성코드가 설치될 당시 로그인된 사용자가 로그인할 때마다 악성코드를 실행시킵니다."
CHOSEN BRICK은 지금까지 단일 기기 내에만 머물렀지만, 추가 악성코드를 내려받아 설치할 수 있으므로 기술적으로는 추가 확산에 활용될 가능성이 있다고 기관들은 지적했습니다.
악성코드는 Telegram을 통해 운영자와 통신하며, 감염된 기기마다 별도의 봇이 할당됩니다. 이 때문에 피해자 한 명이 발각되더라도 다른 피해자를 추적하기 어렵습니다.
탈취되는 정보
CHOSEN BRICK은 실행 중인 프로세스 및 시스템 정보 기록, 스크린샷 캡처, 마이크 켜기, 브라우저에서 WhatsApp·Telegram 데이터 추출, 이메일 탈취, 파일 삭제, 추가 악성코드 내려받기, 또는 기기 완전 삭제 등을 수행할 수 있습니다.
기관들은 화면 캡처가 피해자의 연락처, 위치, 일상을 파악하는 데 가장 흔히 쓰이는 방법 중 하나라고 강조했습니다. 일부 사례에서는 이렇게 수집된 데이터가 친이란 정보 유출 사이트에 게재되기도 했습니다.
이 캠페인이 업무용 기기와 개인 기기를 모두 의도적으로 표적으로 삼는다는 점에서, 기관들은 조직이 위험에 처할 수 있는 직원에게 권고문을 공유해 본인의 휴대폰과 노트북을 직접 확인할 수 있도록 당부하고 있습니다.
"CHOSEN BRICK이 실행됐을 가능성이 우려되는 조직은 내부 또는 외부 IT 제공자에게 연락해 조사를 의뢰해야 합니다."
서방 정부들은 특히 2026년 2월 28일 미국과 이스라엘의 이란 공습 이후 이란의 사이버 활동에 대해 반복적으로 경고를 발령해 왔습니다.
8월에는 이란 해커들이 영국의 소규모 발전소를 4일간 가동 중단시킨 것으로 지목됐습니다. 4월에는 미국 기관들이 에너지·수도·정부 네트워크를 겨냥한 이란의 활동이 고조되고 있다고 경고했습니다. 7월 말에는 미네소타주 수도 시설 30곳에 대한 협조 공격도 이란과 연관된 것으로 추정되고 있으나, 공식 확인은 이루어지지 않았습니다.
