ФБР: киберпреступники из MOIS используют HEAVYGRAM против диссидентов
ФБР считает, что киберпреступники из Министерства разведки и безопасности Ирана (MOIS) как минимум с осени 2023 года используют семейство вредоносного программного обеспечения HEAVYGRAM против иранских диссидентов, оппозиционных групп, журналистов, выступающих против правительства, и лиц, которых иранское правительство рассматривает как угрозу. Операторы выдавали себя за поставщиков ИТ-услуг и связывались с потенциальными жертвами через Telegram, WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) и Instagram (социальная сеть, принадлежащая запрещённой в России и признанной экстремистской американской корпорации Meta). Они убеждали пользователей установить AnyDesk и предоставить учётные данные для доступа либо загрузить троянизированные установщики.
Социальная инженерия и устройство вредоносного ПО
Среди приманок, выявленных специалистами, были поддельное приложение для генерации видео Pictory Premium и поддельный аутентификатор Telegram. Семейство HEAVYGRAM включает маскирующиеся приложения первого этапа, постоянные импланты и модульные инструменты с общими характеристиками разработки.
Вредоносное программное обеспечение в основном написано на Python. Обычно его упаковывают с помощью PyInstaller и вспомогательных архивов. Некоторые варианты содержали сжатые пакеты со средами выполнения Python, зависимостями и исполняемыми полезными нагрузками.
Образцы обеспечивали закрепление с помощью следующих механизмов:
- мьютексов;
- файлов конфигурации;
- служб, основанных на реестре;
- каталогов в расположениях
C:\ProgramData,%APPDATA%и%LOCALAPPDATA%.
Управление и возможности
Вредоносное программное обеспечение использовало Telegram как канал управления. Образцы периодически обращались к api.telegram.org и получали команды через опрос бота. Поддерживаемые команды позволяли выполнять следующие действия:
- обнаруживать процессы и сведения о системе;
- создавать скриншоты;
- регистрировать нажатия клавиш;
- перечислять элементы автозагрузки;
- выполнять операции с файлами и каталогами;
- загружать и выполнять файлы;
- сжимать, копировать и извлекать архивы.
Другие образцы использовали объектное хранилище Vultr через S3-совместимые API, в том числе ams1.vultrobjects.com, для работы с конфигурацией, промежуточного хранения, загрузки и скачивания данных.
Один из обработчиков команд выполнял сообщения, начинающиеся с @, с помощью функции os.popen() в Python. Возможности HEAVYGRAM также включали кражу учётных данных Gmail и токенов OAuth с использованием профилей Chrome, Selenium и легитимного исполняемого файла Google ChromeDriver.
Компоненты семейства поддерживали следующие функции:
- сбор и эксфильтрацию данных браузера;
- запись экрана и аудио;
- сжатие файлов в защищённые паролем RAR-архивы;
- регистрацию нажатий клавиш;
- разведку на хосте;
- удалённое выполнение команд.
Сбор и передача данных
Компонент, предназначенный для кражи данных Gmail, отправлял собранные сведения об аутентификации и адреса электронной почты на инфраструктуру, управляемую через Telegram. Затем он удалял пользовательские данные Chrome.
Другие компоненты локально фиксировали коммуникации и ошибки. Перехваченные файлы передавались на стадию подготовки перед эксфильтрацией.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
