Хакери превръщат Telegram в команден център за зловредния софтуер за наблюдение HEAVYGRAM

HEAVYGRAM е backdoor за наблюдение за Windows, който превръща Telegram в оперативен команден център за атакуващите. Вместо да разчита на специализиран сървър, той използва ботове, акаунти и групи, за да получава инструкции, да прехвърля откраднати данни и да държи заразените устройства под контрол.

Зловредният код се използва от есента на 2023 г. срещу журналисти, ирански дисиденти и хора, чиито възгледи противоречат на правителството на Иран.

С жертвите е установяван контакт през приложения за съобщения от лица, представящи се за познати контакти или техническа поддръжка, след което са им изпращани файлове, маскирани като приложения или услуги.

Кампанията разчита и на убедителни примамки, съобразени с контекста. Изследователите от Group-IB идентифицираха 29 допълнителни образеца на HEAVYGRAM, зареждащи модули (loaders) и злонамерени кодове (payloads), докато проследяваха тази дейност.

Техните констатации надграждат разкритията на правителството на САЩ и свързват операцията с Handala Hack с умерена увереност, показвайки усилие за наблюдение, изградено около социално инженерство и дългосрочен достъп.

Въздействието надхвърля рамките на един заразен компютър. HEAVYGRAM може да събира екранни снимки и аудио, да прихваща кеширана информация, да краде данни от Telegram desktop, да изпълнява команди, да добавя нов злонамерен код и да изтрива файлове.

От Group-IB заявяват в доклад, споделен с Cyber Security News (CSN), че комбинацията създава риск за източници, лична комуникация и чувствителна работа, съхранявана от таргетираните лица.

HEAVYGRAM Surveillance Malware

Операторите на HEAVYGRAM използват bot API на Telegram, за да накарат заразената Windows машина да се регистрира (check in), да приема команди и да изпраща обратно резултатите.

Една от конфигурациите разчита на един бот, докато друга използва два бота за регистрация, логване и доставяне на последващи етапи. Този модел може да накара зловредния трафик да изглежда като обичайна уеб дейност – проблем, който се наблюдава и при други campaigns за контрол на зловреден софтуер чрез Telegram ботове.

След инсталацията имплантът записва името на компютъра и изпраща първоначален сигнален сигнал (beacon). След това той изпраща съобщение за състоянието си на всеки 24 часа, позволявайки на атакуващите да видят дали устройството остава активно.

Командите могат да стартират програми, да събират системни детайли, да правят екранни снимки, да изпълняват вторичен зловреден код и да извличат файлове от Telegram Desktop.

Атаката започва с убедителна примамка. Файловете от първия етап са се представяли като Pictory, KeePass и свързани с Telegram програми, с имена, избрани така, че да изглеждат легитимни.

Някои вериги за доставка използват скриптове или HTML приложения, докато други разопаковат вградени архиви. Тази употреба на софтуер, изглеждащ надежден, отразява троянизираните инсталатори на приложения за съобщения, използвани при други атаки срещу Windows.

Имплантът използва и записи в системния регистър (registry) на Windows, за да запази присъствието си след рестартиране. Свързаните образци на CRUDEEXCLUDE могат да добавят пътища за изключване от сигурността, преди да пуснат HEAVYGRAM, осигурявайки на атакуващите друг начин за намаляване на вероятността от откриване.

Targeted Surveillance and Defense

Изследването свързва HEAVYGRAM с кампания, насочена към лица от интерес за Иран, включително журналист в базирана в Обединеното кралство медия на персийски език и жертва в САЩ, описана в публични регистри.

Докладваната връзка с Handala съвпада и с по-широката история на групата от принудителни дейности, включително разрушителни прониквания, свързани с MOIS, които са засегнали организации в няколко държави.

Жертвата може да види документ или видео за примамка, докато зловредният код извлича последващ етап и установява трайно присъствие. По-късно операторите могат да изтеглят прикачени файлове през Telegram, да ги изпълняват на хоста и да използват странично зареждане на DLL (DLL side-loading), при което легитимна програма зарежда вреден придружаващ файл.

Застрашените лица трябва да инсталират софтуер само от официални източници на разработчика и да потвърждават неочаквани контакти чрез отделен надежден канал.

Те трябва да ограничат настройките за поверителност в приложенията за съобщения, да се отнасят внимателно към непоискани файлове и своевременно да инсталират актуализации за операционната система и сигурността. Тези стъпки са особено важни, когато съобщението изглежда, че идва от колега или екип по поддръжка.

Организациите трябва да изолират системи, които съответстват на индикаторите, да прегледат ключовете в Windows autorun registry и да проверят изходящите bot API връзки за тактики за доставка на задни врати (backdoors) през Telegram.

Екипите трябва да идентифицират необичайни стартирания на системни процеси, системни папки с интервали в края на името и неоторизиран достъп до директории с данни на приложения за съобщения.

Контролът на приложенията може да блокира изпълними файлове (binaries), стартирани от APPDATA, ProgramData и други места с права за запис от потребителя. Когато Telegram не е одобрен бизнес инструмент, мониторингът или блокирането на неговия API трафик може да намали риска.

Проверките за подписване на код и обученията за информираност на персонала добавят полезни слоеве, докато екипите за анализиране на заплахи трябва да въведат индикаторите по-долу в работните си процеси за откриване и реагиране.

Indicators of compromise (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.