与伊朗关联的 Handala Hack 被确认使用可窃取密码的 Telegram 后门 HEAVYGRAM

与伊朗关联的 "黑客行动主义" 身份 Handala Hack 已被确认与一个基于 Telegram 的监控后门 HEAVYGRAM 以及一个基于 Delphi 的工具 CRUDEEXCLUDE 有关。

"HEAVYGRAM 提供内置命令，支持远程命令执行、系统、网络和进程信息收集、数据和 Telegram 会话文件窃取、截屏、DLL 侧加载、文件清理，以及通过 Windows 自启动注册表项实现持久化，"Group-IB 表示。

另一方面，CRUDEEXCLUDE 是一个基于 Delphi 的 Windows 工具，用于为部署后续阶段（如 HEAVYGRAM）准备环境。该恶意软件于 2024 年 7 月底首次被观察到，通常伪装成带图形用户界面 (GUI) 的合法应用程序，并配置 Microsoft Defender 排除路径以实现防御规避。

这些发现建立在美国联邦调查局 (FBI) 于 2026 年 3 月首次发布并于本周再次发布的警报之上，FBI 在警报中指控代表情报与安全部 (MOIS) 行事的伊朗网络行为者针对伊朗异见人士、反对伊朗的记者及其他反对派团体，以开展情报收集、泄露数据并对感兴趣的目标造成声誉损害。

值得注意的是，英国国家网络安全中心正在以 CHOSEN BRICK 之名追踪同一恶意软件家族，并将其描述为一个可用于 "支持一系列潜在作战目标" 的灵活工具。

这些攻击通常涉及通过 Telegram、WhatsApp 和 Instagram 等即时通讯平台进行社会工程学攻击，以提供技术支持或冒充受信任联系人为借口与目标沟通，然后投递伪装成看似无害的安装程序来触发感染。这些应用伪装成 Pictory、KeePass 和 Telegram 等合法应用程序，其中包含第二阶段植入体。

Handala Hack 诞生于 2023 年 10 月 7 日哈马斯及其他巴勒斯坦武装组织针对以色列南部的武装袭击后不久，据评估是由 Void Manticore（又称 Banished Kitten、Red Sandstorm 和 Storm-0842）运营的线上身份，该威胁行为者隶属于伊朗 MOIS。其历史包括实施破坏性擦除攻击和黑客窃密泄露行动。

在去年 9 月发布的一份警报中，加拿大快速响应机制 (RRM) 点名该威胁行为者对五名 Iran International 记者（其中包括一名加拿大籍记者）进行攻击和人肉曝光，作为黑客窃密泄露行动的一部分。

据 Group-IB 称，HEAVYGRAM 于 2023 年 9 月首次在野外被发现。一旦启动，该恶意软件会阻止 Defender 扫描存放恶意载荷的路径，并执行 PowerShell 代码，通过 Windows 注册表为下一阶段植入体建立持久化。

这款基于 Python 的恶意软件的一个显著特点是其利用 Telegram 进行命令与控制 (C2)，使其能够列出正在运行的程序、截屏、捕获网页浏览器数据、上传/下载文件、打开麦克风、复制 Telegram 和 WhatsApp 数据、窃取已保存的密码、下载额外恶意软件以及删除文件。

来自 Telegram 机器人的传入消息根据前缀分隔符系统进行解析：

• 前缀 @@：通过 os.popen 执行任意系统命令
• 前缀 **：将消息正文写入 C:\ProgramData\ur.txt
• 前缀 ##：启用一个支持以下功能的命令套件后门：
  • runexe – 在主机上启动任意进程
  • whois – 通过 api.ipify[.]org 获取主机的公网 IP 地址
  • runtro – 执行第二特洛伊木马载荷
  • cht – 动态更新 C2 Telegram 机器人令牌和操作者用户 ID
  • regtro – 将特洛伊载荷安装到 Windows 自启动注册表项
  • reg – 将主恶意软件可执行文件安装到 Windows 自启动注册表项
  • dt – 窃取 Telegram Desktop 应用程序数据

  
  

"通过 Telegram 机器人接收的附件根据文件名模式匹配进行处理，"Group-IB 表示。"持久化植入体通过两个函数处理 C2 通信：send_initial_message – 发送包含受感染主机完整计算机域名的初始连接信标；send_health_msg – 一个每 24 小时发送一次包含主机域名心跳消息的后台线程，确认植入体仍处于活动状态。"

HEAVYGRAM 被发现通过四种方式投递：WSF/VBS 脚本、VBScript 和 HTML Application (HTA) 文件、内嵌压缩包的可执行文件，以及包含内嵌压缩包的 CRUDEEXCLUDE。Google 于 2025 年 12 月首次记录了 CRUDEEXCLUDE 被用于建立存放 HEAVYGRAM 和另一个名为 SHADEGENES 的恶意软件家族的中转目录，同时伪装成 Pictory 和 Telegram 等合法应用程序。

对 Telegram 基础设施的进一步审查揭示了两种主要配置：一种是 C2 依赖单个 Telegram 机器人和群组；另一种是一个机器人处理签到，而另一个辅助机器人通过群组管理日志记录和阶段轮询。

"新发现的样本展示了一条灵活的多阶段感染链，其中操作者结合了定制的社会工程学、应用伪装、防御规避和持久化访问来入侵感兴趣的目标，"Group-IB 表示。"在行动中广泛使用 Telegram 尤为值得注意，它为操作者提供了一个原生加密的命令与控制通道，其搭建、维护和轮换成本都很低。"