Irańskie malware sterowane przez Telegram uderza w dziennikarzy i dysydentów

Wprowadzenie do problemu / definicja

Nowa kampania cyberszpiegowska przypisywana irańskim podmiotom państwowym pokazuje, jak skutecznie atakujący potrafią wykorzystywać legalne platformy komunikacyjne do sterowania złośliwym oprogramowaniem. Opisana rodzina malware, identyfikowana jako CHOSEN BRICK oraz HEAVYGRAM, została użyta do inwigilacji dysydentów, aktywistów i dziennikarzy.

Szczególnie niebezpieczny jest sposób działania tego zagrożenia. Mechanizm dowodzenia i eksfiltracji danych opiera się na infrastrukturze powiązanej z komunikatorem Telegram, co utrudnia wykrywanie i pozwala ukrywać złośliwy ruch wśród legalnej aktywności sieciowej.

W skrócie

15 września 2026 roku służby cyberbezpieczeństwa z Wielkiej Brytanii, Stanów Zjednoczonych i Holandii publicznie opisały kampanię wiązaną z irańskim resortem wywiadu i bezpieczeństwa. Według ujawnionych ustaleń malware działa na systemach Windows, utrzymuje persystencję po restarcie i komunikuje się z unikalnymi botami przypisanymi do poszczególnych ofiar.

Złośliwe oprogramowanie umożliwia kradzież wiadomości, poświadczeń, zrzutów ekranu oraz nagrań audio z mikrofonu. Atak najczęściej rozpoczyna się od wiadomości socjotechnicznej i pliku podszywającego się pod legalne narzędzie, aplikację lub dokument.

Kontekst / historia

Analizy wskazują, że korzenie kampanii sięgają co najmniej jesieni 2023 roku, a samo malware miało być używane przeciwko wybranym grupom ofiar przynajmniej od 2025 roku. Głównymi celami są osoby postrzegane jako wrogie wobec władz Iranu, w tym dziennikarze krytyczni wobec reżimu, działacze społeczni oraz środowiska opozycyjne.

Charakter operacji wpisuje się w model cyberrepresji prowadzonej poza granicami państwa. Celem nie jest wyłącznie pozyskanie danych, lecz także profilowanie kontaktów, śledzenie aktywności, ustalanie lokalizacji oraz budowanie presji operacyjnej wobec ofiar i ich otoczenia.

Dodatkowym zagrożeniem jest możliwość publikacji pozyskanych informacji w prorządowych serwisach wyciekowych. Taki scenariusz zwiększa ryzyko naruszenia prywatności, bezpieczeństwa fizycznego oraz ochrony źródeł i kontaktów zawodowych.

Analiza techniczna

Łańcuch infekcji rozpoczyna się zwykle od spear-phishingu prowadzonego przez komunikatory lub kanały bezpośrednie. Atakujący podszywają się pod zaufane osoby, wsparcie techniczne albo dostawców znanych aplikacji i dostarczają plik wykonywalny wyglądający jak legalny program lub dokument.

W opisywanych przypadkach przynęty naśladowały między innymi menedżery haseł, komunikatory, oprogramowanie ochronne oraz pliki związane z diagnostyką medyczną. Po uruchomieniu ofiara widzi wiarygodny ekran sugerujący poprawne działanie aplikacji, podczas gdy w tle instalowany jest właściwy ładunek malware.

Zagrożenie uzyskuje persystencję przez modyfikację kluczy autostartu w rejestrze Windows, dzięki czemu uruchamia się ponownie po zalogowaniu użytkownika. Dodatkowo może zmieniać ustawienia ochronne systemu, w tym dodawać wykluczenia dla Microsoft Defender, aby ograniczyć skuteczność detekcji.

Jednym z najważniejszych elementów operacji jest infrastruktura sterowania przypisana per ofiara. Każda zainfekowana stacja może otrzymać osobnego bota, co upraszcza segmentację kampanii, zmniejsza ryzyko operacyjnych pomyłek i ułatwia ukrywanie aktywności. W nowszych wariantach ruch może być dodatkowo maskowany przez serwery proxy.

Zakres funkcji malware obejmuje:

wykonywanie zrzutów ekranu,
enumerację uruchomionych procesów,
aktywację mikrofonu i nagrywanie dźwięku,
kradzież zapisanych haseł i adresów e-mail,
pozyskiwanie danych z komunikatorów i przeglądarek,
pobieranie kolejnych komponentów,
usuwanie plików,
w co najmniej jednej wersji także destrukcyjne wymazanie systemu.

Analitycy zwracają uwagę na artefakty takie jak nietypowe wpisy w kluczach Run, charakterystyczne nazwy mutexów oraz podejrzane ścieżki katalogów imitujące lokalizacje systemowe. Sygnałem ostrzegawczym mogą być również połączenia do legalnych usług komunikacyjnych i chmurowych pojawiające się w nietypowym kontekście procesowym lub czasowym.

Konsekwencje / ryzyko

Z perspektywy bezpieczeństwa operacyjnego jest to zagrożenie wysokiego priorytetu, mimo że kampania nie ma charakteru masowego. To malware silnie ukierunkowane, zaprojektowane do długotrwałej obserwacji i pozyskiwania danych wrażliwych.

Największe ryzyko dotyczy osób objętych nadzorem politycznym, organizacji praw człowieka, redakcji, think tanków oraz podmiotów współpracujących z diasporą irańską. Przejęcie korespondencji, historii kontaktów, dźwięku z otoczenia i materiału ekranowego może ujawnić sieci relacji, harmonogramy działań oraz miejsca pobytu.

W praktyce takie informacje mogą wspierać dalsze operacje wpływu, zastraszania, doxingu oraz transnarodowej represji. Dla organizacji oznacza to również ryzyko naruszenia bezpieczeństwa komunikacji z informatorami, partnerami i źródłami terenowymi.

Rekomendacje

Organizacje i użytkownicy należący do grup podwyższonego ryzyka powinni wdrożyć środki ochronne adekwatne do zagrożeń APT oraz ukierunkowanego spear-phishingu. W tym przypadku kluczowe znaczenie ma połączenie kontroli technicznych, monitoringu i świadomości użytkowników.

Ograniczyć uruchamianie plików dostarczanych przez komunikatory i pocztę bez wcześniejszej weryfikacji pochodzenia.
Wymusić pobieranie oprogramowania wyłącznie z oficjalnych repozytoriów i witryn producentów.
Stosować MFA odporne na phishing, najlepiej oparte na kluczach sprzętowych.
Wdrożyć allowlisting aplikacji na stacjach roboczych wysokiego ryzyka.
Monitorować klucze autostartu rejestru, wykluczenia Microsoft Defender i nietypowe ścieżki w katalogach systemowych.
Analizować ruch wychodzący do usług komunikacyjnych i chmurowych pod kątem anomalii procesowych.
Segmentować środowiska pracy i ograniczać użycie prywatnych urządzeń do obsługi wrażliwej komunikacji.
Prowadzić szkolenia z rozpoznawania socjotechniki opartej na podszywaniu się pod znane kontakty i wsparcie techniczne.
Przygotować procedury reagowania obejmujące analizę artefaktów hostowych, pamięci i logów EDR.

W przypadku podejrzenia infekcji nie należy poprzestawać na usunięciu pojedynczego pliku. Niezbędna jest pełna analiza kompromitacji, rotacja poświadczeń, przegląd kont komunikacyjnych oraz ocena, czy napastnicy nie uzyskali dodatkowego lub trwałego dostępu innymi metodami.

Podsumowanie

Przypadek CHOSEN BRICK i HEAVYGRAM potwierdza, że nowoczesne kampanie cyberszpiegowskie coraz częściej wykorzystują legalne usługi internetowe jako warstwę dowodzenia i ukrywania aktywności. To narzędzia stworzone do precyzyjnej inwigilacji, a nie do szerokiej, przypadkowej dystrybucji.

Dla zespołów bezpieczeństwa najważniejsze pozostają wczesne wykrywanie anomalii na stacjach Windows, ścisła kontrola uruchamianych plików oraz ochrona osób z grup wysokiego ryzyka przed zaawansowaną socjotechniką. Skuteczna obrona wymaga jednoczesnego wykorzystania telemetryki endpointów, kontroli dostępu, edukacji użytkowników i procedur reagowania dostosowanych do zagrożeń sponsorowanych przez państwo.