Ирански хакери користат malware контролиран преку Telegram за шпионирање дисиденти и новинари

Агенциите за сајбер-безбедност на САД, Обединетото Кралство и Холандија објавија детали за Windows malware за кој велат дека иранската разузнавачка служба го користи за шпионирање дисиденти, новинари и активисти ширум светот.

Malware-от се контролира преку апликацијата за размена на пораки Telegram и може да ги копира е-пораките и chat пораките на целта, да прави screenshots и да го активира микрофонот за снимање аудио.

FBI го нарекува HEAVYGRAM, додека Националниот центар за сајбер-безбедност на Обединетото Кралство (NCSC) го нарекува CHOSEN BRICK.

Заедничкото предупредување беше објавено на 15 септември од NCSC, FBI и холандската разузнавачка служба AIVD. FBI исто така објави ажурирана анализа на malware-от, која се надоврзува на предупредувањето од март 2026 година — првото во кое беше опишана кампањата — со повеќе технички детали и нови индикатори на компромитација.

FBI го припишува malware-от на иранското Министерство за разузнавање и безбедност (MOIS), главната разузнавачка агенција во земјата, а пошироката кампања ја датира од есента 2023 година. Во предупредувањето се наведува дека CHOSEN BRICK се користи против лица во Обединетото Кралство, САД и Холандија, како и во други делови од светот, најмалку од 2025 година.

Според агенциите, целите главно се ирански дисиденти, новинари кои се спротивставуваат на Иран, активисти и членови на групи чии ставови се во спротивност со владата. Сепак, FBI предупредува дека цел може да биде секој за кого Иран смета дека е од интерес.

Агенциите велат дека опасноста не се ограничува само на украдените податоци. Screenshots и други собрани информации можат да ги откријат контактите, локацијата и секојдневната рутина на целта. Личните податоци на некои жртви се појавиле на pro-Iranian leak сајтови, што, според предупредувањето, може дополнително да го зголеми ризикот по нивната безбедност.

Во март, Министерството за правда на САД запленило четири такви ирански leak сајтови, за кои соопшти дека биле користени за објавување украдени податоци и за повикување на убиства на дисиденти, новинари и други лица.

Според агенциите, Иран речиси сигурно користи ваков тип сајбер-активности за да помогне во потиснувањето на лицата што ги смета за закана. Во некои случаи, додаваат тие, неговите разузнавачки служби планирале киднапирање или убивање на такви лица во странство.

Како функционира нападот

Нападот започнува со порака. Напаѓачите се претставуваат како лице што целта го познава или како техничка поддршка за некоја апликација за пораки, градејќи доверба пред да испратат датотека што изгледа како легитимна програма, велат агенциите.

Напаѓачите често започнуваат со работниот компјутер на целта. Ако тоа не успее, се обидуваат да преминат на личниот уред, кој не е заштитен со безбедносните системи на компанијата.

Меѓу пријавените маскирани апликации се AI видео апликацијата Pictory, password manager-от KeePass, самиот Telegram, RunwayML, Norton Antivirus и Adobe Flash Player. Во некои случаи, датотеката била направена да изгледа како резултат од MRI скенирање.

Кога целта ќе ја отвори датотеката, се појавува уверлив лажен екран додека вистинскиот malware се инсталира во заднина. Првата фаза се претставува како апликацијата, додека втората фаза го поврзува компјутерот со Telegram bot кој напаѓачите го користат за негово контролирање и за собирање украдени податоци. Сите досега откриени верзии работат само на Windows.

За да преживее рестартирање, malware-от се додава во Windows Registry „Run“ key, со што повторно се стартува секогаш кога корисникот ќе се најави. Исто така, му кажува на Microsoft Defender, вградениот антивирус, да прескокнува одредени папки за неговите датотеки да не бидат скенирани.

На секој заразен компјутер му се доделува сопствен Telegram bot, што, според агенциите, спречува активностите на една жртва да се мешаат со оние на друга жртва.

Откако ќе се активира, malware-от може да добива команди за извршување на голем број активности: да ги прикаже активните програми, да прави screenshots, да го вклучи микрофонот, да копира Telegram и WhatsApp податоци од browser-от, да краде зачувани лозинки и адреси на е-пошта, да презема дополнителен malware и да брише датотеки. Според заедничкото предупредување, најмалку една верзија може и целосно да го избрише компјутерот.

Агенциите велат дека досега malware-от не е забележан како самостојно се шири низ мрежа, иако може да презема дополнителни алатки. Украдените датотеки го напуштаат компјутерот преку Telegram bot-от и преку cloud storage услуги како Vultr и Storj. Поновите верзии го испраќаат Telegram сообраќајот преку proxy сервери за да го сокријат, се наведува во предупредувањето.

Знаци на кои треба да се внимава

Во предупредувањата се наведени знаци што администраторите и корисниците изложени на ризик можат да ги проверуваат, меѓу кои:

• Registry key: запис во „Run“ key со име SMQDService или winappx, додаден за malware-от да се стартува при најавување.
• Патека до датотека: папка со додаден празен простор, C:\Windows \SysWOW64, каде што malware-от поставува дополнителни датотеки.
• Мрежа: неочекувани конекции кон инаку легитимни сервиси, меѓу кои api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com и lightningproxies.net.
• Mutex: ознаки што malware-от ги поставува за да спречи негово двојно извршување, како ytyjyujyu и noi672pp434awkc12f.

Анализата на FBI и заедничкото предупредување ја содржат целосната листа, вклучувајќи ги и file hashes. Агенциите предупредуваат дека имињата на датотеките и папките на malware-от можат да се менуваат, па овие знаци не треба да се сметаат за единствените индикатори на кои треба да се внимава.

Како да се заштитите

За намалување на ризикот, агенциите им препорачуваат на поединците:

• Да не отвораат датотеки испратени преку пораки или линкови и софтверот да го преземаат само од официјални веб-страници или продавници за апликации.
• Оперативниот систем и сите апликации да бидат ажурирани, по можност со автоматски updates.
• Да користат антивирусен софтвер и тој да биде активен и ажуриран.
• Да не ги игнорираат SmartScreen предупредувањата при преземање датотеки.

На мрежните администратори им се препорачува:

• Да активираат multi-factor authentication (MFA) отпорна на phishing.
• Да користат application allowlisting и контроли за управувани уреди.
• Да ги користат алатките за скенирање и безбедност што ги нуди нивниот провајдер на е-пошта.
• Да ги следат компјутерите и мрежниот сообраќај и да ги пребаруваат логовите за горенаведените индикатори.

Секој што се сомнева дека системот е заразен треба да го провери „Run“ key опишан погоре, да го извести својот IT support и да го пријави случајот до националната агенција за сајбер-безбедност. Во предупредувањата не се наведува дали само отстранувањето на malware-от е доволно за целосно отстранување на компромитацијата.

Кога FBI првпат предупреди за кампањата во март, Telegram за TechCrunch изјави дека нивните модератори „редовно ги отстрануваат сите сметки за кои ќе се утврди дека се поврзани со malware“.

Агенциите ги претставуваат своите заклучоци како проценки, а не како прашања што се правно утврдени со судска одлука.

Извори:

• The Hacker News – Iranian Hackers Use Telegram-Controlled Malware to Spy on Dissidents and Journalists The Hacker News