Бэкдор HEAVYGRAM применяли для слежки за иранскими диссидентами

HEAVYGRAM, многоэтапный бэкдор для слежки под Windows, с умеренной степенью уверенности связывают с иранским актором Handala Hack. По оценкам, Handala Hack связан с Министерством разведки и безопасности Ирана. С сентября 2023 года HEAVYGRAM использовали против иранских диссидентов, журналистов, оппонентов правительства и других лиц, которых считали угрозой интересам Ирана.

Доставка и развёртывание вредоносного ПО

Жертвы обычно получали сообщения через мессенджеры от злоумышленников, выдававших себя за известных контактов или сотрудников технической поддержки. В сообщениях отправляли вредоносное ПО, замаскированное под легитимные программы, в том числе Telegram, KeePass, Pictory и утилиты Windows.

Первичные механизмы доставки включали:

скрипты WSF и VBS;
файлы HTA;
заставки Windows;
исполняемые файлы на базе Delphi со встроенными архивами.

Эти компоненты использовали обфусцированный PowerShell или VBScript для загрузки, извлечения и выполнения последующих стадий из облачного хранилища или через Telegram. Некоторые образцы проверяли том диска системы перед выполнением, использовали документы и видео в качестве приманок, а также создавали или запускали файлы в каталогах, включая C:\ProgramData.

Образцы CRUDEEXCLUDE, связанные с такими развёртываниями, маскировались под легитимные приложения и добавляли пути, связанные с вредоносным ПО, в исключения Microsoft Defender.

Возможности HEAVYGRAM и управление

Основной имплант HEAVYGRAM написан на Python и скомпилирован с помощью PyInstaller. Он считывает конфигурационные данные с токеном бота Telegram и идентификаторами пользователей или групп, а затем взаимодействует с операторами через Telegram Bot API.

Бэкдор поддерживает следующие функции:

выполнение произвольных команд;
получение вывода команд;
загрузку файлов и полезных нагрузок;
подготовку конфигураций или данных;
выполнение дополнительных файлов;
захват экрана и аудиоданных;
сбор данных кэша приложений или Telegram;
создание зашифрованных архивов;
удаление файлов;
эксфильтрацию через Telegram.

Вредоносное ПО поддерживает закрепление с помощью ключей Run в реестре Windows. На этапе развёртывания оно также может использовать подмену DLL или замаскированные исполняемые файлы.

Операторы применяли конфигурации с одним и несколькими ботами. Боты использовались для связи с жертвами, обработки команд, ведения журналов и доставки полезных нагрузок. Наблюдаемые образцы взаимодействовали с api.telegram.org, а пользователи, группы и боты Telegram служили инфраструктурой управления.