Iranian Hackers Use Telegram-Controlled Malware to Spy on Dissidents and Journalists

Espionnage étatique via Telegram : La menace HEAVYGRAM/CHOSEN BRICK

Des agences de cybersécurité (FBI, NCSC, AIVD) ont alerté sur une campagne d’espionnage sophistiquée orchestrée par le ministère iranien du Renseignement (MOIS). Cette opération cible des dissidents, journalistes et activistes à travers le monde en utilisant un logiciel malveillant piloté via Telegram.

Points clés :

• Infiltration : Les attaquants usurpent des identités de confiance (support technique, applications connues comme KeePass, Norton ou Adobe) pour inciter les victimes à installer le malware.
• Fonctionnalités : Une fois actif sur Windows, le logiciel peut capturer des captures d’écran, enregistrer l’audio via le microphone, voler des mots de passe, exfiltrer des messages (WhatsApp/Telegram) et supprimer des fichiers.
• Persistance : Le malware s’inscrit dans les clés de registre Windows pour s’exécuter à chaque démarrage et configure Microsoft Defender pour exclure ses répertoires d’analyse.
• Risques : Les données volées servent à identifier la localisation et les réseaux de contacts des cibles, facilitant potentiellement des menaces physiques.

Vulnérabilités et indicateurs :

• Aucun CVE spécifique n’est mentionné, l’attaque reposant sur l’ingénierie sociale et des techniques d’exécution persistante classiques.
• Indicateurs de compromission :
  • Clés de registre : SMQDService ou winappx.
  • Chemins suspects : C:\Windows \SysWOW64 (avec un espace anormal).
  • Connexions réseau vers : api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com et lightningproxies.net.
  • Mutex identifiés : ytyjyujyu et noi672pp434awkc12f.

Recommandations :

• Pour les utilisateurs : Ne jamais ouvrir de fichiers provenant de messageries non sollicitées, télécharger des logiciels uniquement via des sources officielles et maintenir les systèmes à jour. Ne pas ignorer les alertes de sécurité de type “SmartScreen”.
• Pour les administrateurs réseau : Implémenter l’authentification multifacteur (MFA) résistante au phishing, appliquer une politique de liste blanche d’applications et surveiller étroitement les journaux réseau à la recherche des indicateurs de compromission susmentionnés.

Source