Hacker iraniani usano Telegram per attacchi malware

Gli hacker iraniani hanno usato Telegram per effettuare attacchi malware e rubare dati sensibili dai dispositivi di giornalisti, dissidenti e oppositori del regime. Secondo l’FBI, i cybercriminali eseguono le loro attività per conto del governo. Uno dei gruppi è Handala, autore del recente attacco contro Stryker (leader mondiale nel settore delle tecnologie mediche) che ha causato la cancellazione dei dati da quasi 80.000 dispositivi.

Malware per Windows controllato tramite Telegram

Gli attacchi vengono eseguiti in più fasi. I cybercriminali contattano inizialmente le vittime impersonando un presunto supporto tecnico, quindi chiedono di installare un’applicazione apparentemente legittima. L’eseguibile è in realtà un malware che stabilisce la persistenza tramite una chiave del registro di Windows e ruba numerosi dati dal dispositivo.

I cybercriminali usano un bot Telegram come soluzione C2 (command and control). La comunicazione bidirezionale non permette solo di ricevere i dai rubati, ma anche di effettuare l’accesso remoto al dispositivo e di installare altri malware. Si tratta principalmente di spyware che catturano screenshot, registrano l’audio durante una sessione di Zoom o cancellano file.

Un portavoce di Telegram ha dichiarato:

I malintenzionati possono utilizzare, e di fatto utilizzano, qualsiasi canale disponibile per controllare i malware, inclusi altri servizi di messaggistica, email o persino connessioni web dirette. Sebbene l’utilizzo di Telegram per controllare i software non sia una novità, i moderatori rimuovono regolarmente gli account che risultano coinvolti nella diffusione di malware.

Nel comunicato dell’FBI viene citato il gruppo Handala in riferimento al furto di dati dai dispositivi di alcuni dissidenti. I cybercriminali iraniani hanno colpito Stryker l’11 marzo scorso. L’azienda statunitense deve ancora ripristinare completamente i sistemi interni.

Dopo aver ottenuto l’accesso ad un account amministratore hanno inviato un comando “wipe” tramite Microsoft Intune e cancellato i dati su quasi 80.000 dispositivi, tra cui computer e smartphone dei dipendenti.