伊朗黑客利用 Telegram 控制的恶意软件监视异见人士和记者

美国、英国和荷兰的网络安全机构详细介绍了一款 Windows 恶意软件，称伊朗情报部门利用它监视世界各地的异见人士、记者和活动人士。

该恶意软件通过 Telegram 即时通讯应用控制，能够复制目标的电子邮件和聊天信息、截取屏幕截图，并激活麦克风录制音频。

FBI 将其称为 HEAVYGRAM，英国国家网络安全中心 (NCSC) 则称其为 CHOSEN BRICK。

这份联合公告由 NCSC、FBI 和荷兰情报机构 AIVD 于 9 月 15 日发布。FBI 还发布了该恶意软件的更新分析报告，在 2026 年 3 月首次描述该活动的警报基础上，补充了更多技术细节和新的失陷指标 (IOC)。

FBI 将该恶意软件归因于伊朗情报与安全部 (MOIS)——该国主要情报机构，并将更广泛的行动追溯到 2023 年秋季。公告称，至少自 2025 年以来，CHOSEN BRICK 已被用于攻击英国、美国、荷兰及世界各地的人员。

各机构表示，目标主要是伊朗异见人士、反对伊朗的记者、活动人士，以及观点与政府相左的团体成员。但 FBI 警告称，任何被伊朗视为有兴趣的人都有可能成为目标。

各机构表示，其危害不止于数据窃取。屏幕截图和其他收集到的信息可以暴露目标的联系人、位置和日常活动。公告称，部分受害者的个人信息已出现在亲伊朗的泄露网站上，这可能加大其人身安全风险。

今年 3 月，美国司法部查封了四个此类伊朗泄露网站，称其曾被用于发布窃取的数据，并呼吁杀害异见人士、记者和其他人员。

各机构表示，伊朗几乎可以肯定利用此类网络活动来协助镇压其视为威胁的人。他们补充说，在某些情况下，其情报机构曾策划在境外绑架或杀害此类人员。

攻击如何运作

攻击始于一条消息。各机构表示，攻击者伪装成目标认识的人或某即时通讯应用的技术支持，在建立信任后发送一个看似合法程序的文件。

各机构称，攻击者往往从目标的工作电脑下手。如果不成功，他们会试图转移至个人设备，因为公司安全机制不会保护个人设备。

已报告的伪装包括 AI 视频应用 Pictory、密码管理器 KeePass、Telegram 本身、RunwayML、Norton Antivirus 和 Adobe Flash Player。在某些情况下，该文件还被伪装成 MRI 扫描结果。

当目标打开文件时，屏幕上会出现一个逼真的假界面，而真正的恶意软件则在后台安装。第一阶段伪装成该应用，第二阶段则将计算机连接到攻击者用于控制和收集窃取数据的 Telegram 机器人。迄今发现的每个版本都只能在 Windows 上运行。

为了在重启后存活，该恶意软件将自身添加到 Windows 注册表 "Run" 键中，从而在用户每次登录时重新启动。它还指示内置杀毒软件 Microsoft Defender 跳过某些文件夹，使其文件不被扫描。

每台受感染计算机都被分配了专属的 Telegram 机器人，各机构称这样可以避免一名受害者的活动与另一名受害者混杂在一起。

一旦运行，该恶意软件可被指令执行多种操作：列出正在运行的程序、截取屏幕截图、开启麦克风、从浏览器复制 Telegram 和 WhatsApp 数据、窃取已保存的密码和电子邮件地址、下载其他恶意软件以及删除文件。联合公告称，至少有一个版本还能擦除计算机。

各机构表示，尚未发现该恶意软件自行在网络中传播，但它可以下载更多工具。窃取的文件通过 Telegram 机器人以及 Vultr 和 Storj 等云存储服务离开计算机。公告称，较新版本会通过代理服务器发送其 Telegram 流量以隐藏行踪。

需要留意的迹象

各公告列出了防御者和高风险用户可以检查的迹象，包括：

• 注册表键：一个名为 SMQDService 或 winappx 的 "Run" 键条目，被添加以使恶意软件在登录时启动。
• 文件路径：一个多了一个空格的文件夹 C:\Windows \SysWOW64，恶意软件在其中投放额外文件。
• 网络：与本来合法的服务的异常连接，包括 api.telegram.org、vultrobjects.com、storjshare.io、backblazeb2.com、iproyal.com 和 lightningproxies.net。
• Mutex：恶意软件设置的名称标记以避免重复运行，例如 ytyjyujyu 和 noi672pp434awkc12f。

FBI 的分析和联合公告包含完整列表，包括文件哈希。各机构警告称，该恶意软件的文件名和文件夹可能会变化，因此不应将这些迹象视为唯一需要关注的对象。

如何保护自己

为降低风险，各机构建议个人：

• 不要打开通过消息发送的文件或链接，仅从官方网站或应用商店下载软件。
• 保持操作系统和所有应用为最新版本，最好启用自动更新。
• 运行杀毒软件并保持其开启且为最新状态。
• 下载文件时不要忽视 SmartScreen 警告。

他们建议网络管理员：

• 启用抗钓鱼多因素认证 (MFA)。
• 使用应用程序允许列表和受管设备控制。
• 使用其电子邮件提供商提供的扫描和安全工具。
• 监控计算机和网络流量，并在日志中搜索上述指标。

任何怀疑被感染的人应检查上述 "Run" 键、通知其 IT 支持部门，并向其国家网络机构报告。各公告未说明仅移除恶意软件是否足以清除入侵。

当 FBI 于 3 月首次就该活动发出警告时，Telegram 告诉 TechCrunch，其审核人员"会例行移除任何被发现参与恶意软件活动的账户"。各机构将其结论作为评估呈现，而非已在法庭上定论的事实。