Mỹ, Anh và Hà Lan cảnh báo chiến dịch mã độc Windows do Iran điều khiển qua Telegram
"U.S., U.K., and Dutch agencies reported a Windows malware campaign attributed to Iran's MOIS that uses Telegram bots for command-and-control and espionage against dissidents, journalists, and activists. The malware can steal messages, screenshots, passwords, and audio, persist via Windows registry Run keys, and in some cases wipe systems; no CVE is cited, and the main mitigation is user caution, updated defenses, and phishing-resistant MFA."
Đây là chiến dịch gián điệp mạng có mục tiêu rõ ràng, có thể dẫn tới rò rỉ dữ liệu nhạy cảm và đe dọa an toàn cá nhân của nạn nhân.
Tổ chức có nhân sự thuộc nhóm rủi ro có thể chịu mất dữ liệu, gián đoạn thiết bị và tăng chi phí ứng phó sự cố cùng bảo vệ người dùng.
Các cơ quan an ninh mạng của Mỹ, Anh và Hà Lan đã công bố cảnh báo chung về một chiến dịch mã độc Windows bị cho là do MOIS của Iran đứng sau, nhắm vào nhà báo, nhà hoạt động và người bất đồng chính kiến. Mã độc này dùng Telegram bot làm kênh điều khiển, có thể thu thập tin nhắn, ảnh chụp màn hình, mật khẩu và âm thanh từ micro.
Theo phân tích của FBI, chiến dịch này đã diễn ra từ mùa thu 2023 và được ghi nhận trên nhiều nạn nhân từ ít nhất năm 2025. Mã độc chỉ được quan sát trên Windows, có cơ chế bám trụ bằng Windows Registry Run key, đồng thời có thể cấu hình để bỏ qua một số thư mục trong Microsoft Defender. Một số biến thể còn có khả năng xóa tệp hoặc xóa sạch hệ thống.
Khuyến nghị kỹ thuật gồm: không mở tệp nhận qua tin nhắn hoặc liên kết lạ, chỉ tải phần mềm từ nguồn chính thức, bật cập nhật tự động cho hệ điều hành và ứng dụng, duy trì antivirus ở trạng thái hoạt động, và triển khai MFA chống phishing. Quản trị viên nên theo dõi các chỉ dấu như kết nối bất thường tới api.telegram.org và các dịch vụ lưu trữ đám mây liên quan, đồng thời áp dụng application allowlisting để giảm rủi ro.