Агенциите за киберсигурност на САЩ, Обединеното кралство и Нидерландия разкриха подробности за зловреден софтуер за Windows, който според тях се използва от иранското разузнаване за шпионаж на дисиденти, журналисти и активисти по целия свят.

Зловредният софтуер се управлява чрез приложението за съобщения Telegram и може да копира имейли и чат съобщения на мишената, да прави екранни снимки и да активира микрофона за запис на аудио.

ФБР го нарича HEAVYGRAM, а Националният център за киберсигурност на Обединеното кралство (NCSC) го нарича CHOSEN BRICK.

Съвместният бюлетин за сигурност беше публикуван на 15 септември от NCSC, ФБР и нидерландската разузнавателна служба AIVD. ФБР публикува и актуализиран анализ на зловредния софтуер, който надгражда предупреждение от март 2026 г. — първото, описващо кампанията — с повече технически подробности и нови индикатори за компрометиране.

ФБР приписва зловредния софтуер на Министерството на разузнаването и сигурността на Иран (MOIS), основната разузнавателна служба на страната, и датира по-широката кампания към есента на 2023 г. В бюлетина се посочва, че CHOSEN BRICK се използва срещу лица във Великобритания, САЩ, Нидерландия и по целия свят поне от 2025 г. насам.

Мишените са основно ирански дисиденти, журналисти, които се противопоставят на иранския режим, активисти и членове на групи с възгледи, несъвместими с управлението, посочват агенциите. От ФБР обаче предупреждават, че всеки, към когото Иран проявява интерес, може да се окаже мишена.

Агенциите заявяват, че опасността надхвърля откраднатите данни. Екранните снимки и другата събрана информация могат да разкрият контактите, местоположението и ежедневния график на жертвата. Личните данни на някои жертви са се появили в проирански сайтове за изтичане на информация, което според документа може да увеличи риска за тяхната безопасност.

През март Министерството на правосъдието на САЩ конфискува четири такива ирански сайта за изтичане на данни, за които заяви, че са били използвани за публикуване на откраднати данни и за призиви за убийства на дисиденти, журналисти и други лица.

Иран почти сигурно използва този вид кибератаки като помощно средство за репресии срещу онези, които смята за заплаха, казват агенциите. В някои случаи, добавят те, неговите разузнавателни служби са планирали отвличания или убийства на такива хора в чужбина.

Как протича атаката

Атаката започва със съобщение. Атакуващите се представят за познат на жертвата или за техническа поддръжка на приложение за комуникация, като изграждат доверие, преди да изпратят файл, представен като легитимна програма, заявяват агенциите.

Атакуващите често започват от служебния компютър на мишената, посочват агенциите. Ако това не успее, те се опитват да преминат към лично устройство, което не е защитено от фирмените мерки за сигурност.

Сред докладваните прикрития са приложението за AI видео Pictory, мениджърът на пароли KeePass, самият Telegram, RunwayML, Norton Antivirus и Adobe Flash Player. В някои случаи файлът е бил маскиран като резултати от ядрено-магнитен резонанс (ЯМР).

Когато жертвата отвори файла, се появява убедителен фалшив прозорец, докато реалният зловреден софтуер се инсталира във фонов режим. Първият етап се представя за легитимното приложение, а вторият етап свързва компютъра с Telegram бот, който киберпрестъпниците използват, за да го управляват и да събират откраднатите данни. Всяка версия, засечена досега, работи единствено на Windows.

За да се запази активно след рестартиране, зловредният софтуер се добавя в регистъра на Windows в ключ „Run“, така че да стартира отново при всяко влизане на потребителя в системата. Освен това той указва на вградената антивирусна програма Microsoft Defender да прескача определени папки, за да не бъдат сканирани файловете му.

На всеки заразен компютър се присвоява собствен Telegram бот, което според агенциите предотвратява смесването на дейността на отделните жертви.

След като бъде стартиран, зловредният софтуер може да изпълнява редица команди: извеждане на списък с работещите програми, правене на екранни снимки, активиране на микрофона, копиране на данни от Telegram и WhatsApp от браузъра, кражба на запазени пароли и имейл адреси, изтегляне на допълнителен зловреден софтуер и изтриване на файлове. Поне една версия може също така напълно да заличи данните от компютъра, според съвместния бюлетин.

Агенциите отбелязват, че зловредният софтуер не е бил наблюдаван да се разпространява самостоятелно в мрежата, въпреки че може да изтегля допълнителни инструменти. Откраднатите файлове напускат компютъра през Telegram бота и чрез облачни услуги за съхранение като Vultr и Storj. По-новите версии пренасочват трафика си към Telegram през прокси сървъри, за да го прикрият, се посочва в бюлетина.

Признаци за разпознаване на заплахата

Бюлетините изброяват признаци, които защитниците и изложените на риск потребители могат да проверят, включително:

  • Ключ в системния регистър: запис в ключ „Run“ с име SMQDService или winappx, добавен за стартиране на зловредния софтуер при влизане в профила.
  • Файлов път: папка с добавен интервал, C:\Windows \SysWOW64, където зловредният софтуер разполага допълнителни файлове.
  • Мрежова активност: необичайни връзки към иначе легитимни услуги, включително api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com и lightningproxies.net.
  • Mutex: идентификационни маркери, които зловредният софтуер задава, за да избегне повторно стартиране, като например ytyjyujyu и noi672pp434awkc12f.

Анализът на ФБР и съвместният бюлетин съдържат пълния списък, включително хешове на файловете. Агенциите предупреждават, че имената на файловете и папките на зловредния софтуер могат да се променят, така че тези признаци не бива да се разглеждат като единствените, за които да се следи.

Как да се предпазите

За да намалят риска, агенциите препоръчват на отделните потребители:

  • Да не отварят файлове, изпратени чрез съобщения или връзки, и да изтеглят софтуер само от официални уебсайтове или магазини за приложения.
  • Да поддържат операционната система и всички приложения обновени, в идеалния случай чрез автоматични актуализации.
  • Да използват антивирусен софтуер и да го поддържат включен и актуализиран.
  • Да не пренебрегват предупрежденията на SmartScreen при изтегляне на файлове.

Към мрежовите администратори те отправят следните препоръки:

  • Да активират устойчива на фишинг многофакторна автентикация.
  • Да прилагат списъци с разрешени приложения (application allowlisting) и контрол върху управляваните устройства.
  • Да използват инструментите за сканиране и сигурност, предоставени от техния доставчик на електронна поща.
  • Да наблюдават компютрите и мрежовия трафик, както и да проверяват системните логове за посочените по-горе индикатори.

Всеки, който подозира заразяване, трябва да провери описания по-горе ключ „Run“, да уведоми своя ИТ отдел и да подаде сигнал до националната си агенция за киберсигурност. В бюлетините не се уточнява дали премахването единствено на зловредния софтуер е достатъчно за пълното неутрализиране на компрометирането.

Когато ФБР за първи път отправи предупреждение за кампанията през март, от Telegram заявиха пред TechCrunch, че техните модератори „рутинно премахват всички акаунти, за които е установено, че са свързани със зловреден софтуер“. Агенциите представят своите заключения като експертни оценки, а не като въпроси, решени по съдебен ред.