Phát hiện backdoor HEAVYGRAM liên kết Handala Hack
"The article describes HEAVYGRAM, a Python-based Telegram C2 backdoor tied to the Iran-linked Handala Hack persona and associated with MOIS-linked activity. It can execute commands, exfiltrate data and passwords, capture screenshots, maintain persistence via Windows autorun keys, and is often deployed alongside CRUDEEXCLUDE, a Delphi utility used to prepare the environment and add Microsoft Defender exclusions; no CVE is mentioned."
Rủi ro đánh cắp dữ liệu, thu thập mật khẩu và duy trì truy cập lâu dài; chuỗi tấn công có né tránh Defender và C2 qua Telegram.
Có thể gây rò rỉ dữ liệu nhạy cảm, gián đoạn điều tra nội bộ và tăng chi phí ứng phó do lây nhiễm nhiều giai đoạn và khó phát hiện.
Nhà nghiên cứu an ninh cho biết nhóm liên quan đến Iran, được theo dõi với tên Handala Hack, có liên quan tới backdoor HEAVYGRAM dựa trên Python và tiện ích CRUDEEXCLUDE viết bằng Delphi. Mã độc này dùng Telegram làm kênh C2, có thể thực thi lệnh từ xa, thu thập thông tin hệ thống, chụp màn hình, tải lên/tải xuống tệp, trích xuất dữ liệu trình duyệt và mật khẩu đã lưu, cũng như duy trì hiện diện qua Windows autorun registry keys.
Theo báo cáo, CRUDEEXCLUDE thường được dùng ở giai đoạn đầu để chuẩn bị môi trường, tạo thư mục staging và thêm Microsoft Defender exclusions nhằm né tránh phòng vệ. Chuỗi lây nhiễm thường dựa trên social engineering qua Telegram, WhatsApp và Instagram, giả mạo ứng dụng hợp pháp như Pictory, KeePass hoặc Telegram để dụ nạn nhân chạy tệp cài đặt.
Tổ chức bị nhắm tới chủ yếu là nhà báo, người bất đồng chính kiến và các nhóm đối lập. Khuyến nghị kỹ thuật gồm: rà soát các autorun keys, kiểm tra ngoại lệ của Defender, giám sát lưu lượng và tài khoản Telegram bot, đồng thời phát hiện các tệp WSF/VBS, HTA và bộ cài có archive nhúng bất thường.