Malware Telegram Iran Memata-matai Disiden dan Wartawan

Malware Telegram Iran Memata-matai Disiden dan Wartawan

Pada 15 September, agensi siber tiga negara — NCSC United Kingdom, FBI Amerika Syarikat dan AIVD Belanda — mendedahkan secara bersama sebuah famili malware Windows yang digunakan Kementerian Perisikan dan Keselamatan Iran (MOIS) untuk mengawasi disiden, wartawan dan aktivis di seluruh dunia (NCSC). Pihak FBI memanggilnya HEAVYGRAM; NCSC pula CHOSEN BRICK. Malware yang sama, dua nama, satu pengawal: bot Telegram pada mesin mangsa itu sendiri (The Hacker News).

Advisory ini ialah kemas kini kepada amaran FBI Mac 2026 — yang pertama menghuraikan kempen ini — kini dengan butiran teknikal lebih mendalam dan indikator kompromi baharu. FBI mengesan kempen yang lebih luas bermula musim luruh 2023; CHOSEN BRICK diperhatikan menyasarkan individu di UK, AS dan Belanda, serta di tempat lain, sekurang-kurangnya sejak 2025 (FBI/IC3).

Spyware terhadap manusia, bukan rangkaian

Kebanyakan mangsa ialah disiden Iran, wartawan yang membangkang rejim, aktivis dan ahli kumpulan yang pandangannya bercanggah dengan kerajaan — walaupun FBI memberi amaran sesiapa sahaja yang Iran rasa berkepentingan boleh menjadi sasaran (The Hacker News). Advisory itu berterus terang tentang tujuan aktiviti siber ini: Iran "hampir pasti" menggunakannya untuk menyokong penindasan terhadap orang yang dianggap ancaman kepada rejim, dan dalam sesetengah kes perisikannya merancang operasi culik atau operasi maut terhadap individu di luar negara (NCSC, The Record).

Pertaruhan di dunia nyata inilah yang menjadikan cerita ini bukan sekadar laporan malware, tetapi isu keselamatan peribadi. Screenshot dan senarai kenalan yang dicuri membolehkan operator memetakan rutin harian mangsa. Butiran peribadi sesetengah mangsa telah muncul di laman bocor pro-Iran, meningkatkan risiko terhadap keselamatan mereka — Jabatan Keadilan Amerika Syarikat merampas empat laman sebegitu pada Mac 2026 selepas ia digunakan untuk menyiarkan data curian dan menyeru kemudaratan terhadap disiden (The Hacker News).

Rantaian serangan: social engineering dengan implant dua peringkat

Kempen ini ialah operasi social engineering yang dikaji rapi. Operator menghubungi sasaran menerusi aplikasi pesanan seperti WhatsApp dan Telegram, berpura-pura sebagai kenalan yang dikenali atau technical support platform, dan membina hubungan dahulu — selepas menyelidik sasaran secara menyeluruh (MITRE T1589). Mereka selalunya bermula pada peranti kerja sasaran; jika penghantaran gagal atau kelihatan berisiko, mereka memujuk sasaran membuka fail pada peranti peribadi, jauh daripada kawalan korporat (NCSC).

Fail yang dihantar disamarkan supaya sepadan dengan alasan. Antara samaran yang diperhatikan: Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player dan KeePass — dan dalam sekurang-kurangnya satu kes, imbasan MRI palsu bagi disc herniation (The Record). Apabila dibuka, skrin palsu yang meyakinkan dimainkan sementara payload sebenar dipasang di latar belakang.

Stage 1  masquerading installer (Pictory / KeePass / Telegram / fake MRI)
          └─► shows a convincing decoy screen, drops stage 2
Stage 2  persistent implant (CHOSEN BRICK / HEAVYGRAM)
          └─► connects to api.telegram.org as a victim-specific Telegram bot
               → bidirectional C2, data exfiltration

Setiap sampel yang diperhatikan setakat ini berjalan pada Windows sahaja. Stage 2 kekal walaupun selepas reboot menerusi kekunci registry Run Windows (nilai yang dilihat: SMQDService, winappx), dan ia menambah pengecualian Microsoft Defender supaya failnya tidak diimbas. Setiap komputer yang dijangkiti mendapat bot Telegram uniknya sendiri — langkah operational security supaya mangsa yang terbongkar tidak mencemarkan channel orang lain (FBI/IC3, The Hacker News).

Apa yang implant boleh diarahkan lakukan

Melalui bot Telegram, operator boleh mengarahkan malware menjalankan pelbagai fungsi: menyenaraikan proses dan maklumat sistem yang berjalan, merakam kandungan skrin, menghidupkan mikrofon untuk merakam audio, menyalin data Telegram dan WhatsApp daripada browser, mencuri kata laluan tersimpan dan email, memuat turun malware tambahan serta memadam fail. Sekurang-kurangnya satu versi boleh menghapuskan terus komputer (The Hacker News, NCSC).

Eksfiltrasi melalui bot Telegram ditambah penyimpanan objek cloud komersial — VultrObjects, StorjShare dan Backblaze B2 — dan varian terkini menyeludup trafik Telegram menerusi proksi HTTPS/SOCKS5 untuk menyembunyikannya. Reka bentuk itulah yang menjadikan malware ini sukar dikesan: ia berkomunikasi dengan perkhidmatan yang kelihatan seperti trafik rangkaian biasa.

Agensi mencatatkan malware ini tidak diperhatikan merebak secara lateral dengan sendirinya — tetapi ia boleh memuat turun lebih banyak tools, jadi pergerakan lateral secara teknikal mungkin. CHOSEN BRICK juga dikaitkan dengan persona hack-and-leak "Handala Hack" (yang bersambung kepada Homeland Justice) di sebalik operasi Julai 2025 yang menyiarkan data yang diklaim diambil daripada pengkritik rejim (FBI/IC3).

Indikator yang patut diburu

Advisory menyenaraikan IOC dan tanda amaran, yang ditegaskan agensi boleh berubah mengikut evolusi malware:

Registry Run values:   SMQDService  →  C:\ProgramData\SMQDServicePackages\...
                       winappx       →  C:\Users\All Users\MicrosoftDistribution\...
Dropper directory:     C:\Windows \SysWOW64      (note the space, non-standard)
Network domains:       api.telegram.org, vultrobjects.com, storjshare.io,
                       backblazeb2.com, iproyal.com, lightningproxies.net
Mutexes:               ytyjyujyu, noi672pp434awkc12f

Sekiranya mana-mana ini muncul dalam log di tempat yang tidak sepatutnya, siasat. Senarai penuh hash fail ada dalam PDF advisory (NCSC).

Apa yang anda patut buat

Bagi individu — terutama wartawan, aktivis atau ahli diaspora yang berpotensi masuk dalam senarai MOIS — nasihat agensi bersifat praktikal: jangan buka fail yang dihantar menerusi pesanan atau link; muat turun software hanya daripada laman web rasmi atau app store; pastikan OS dan aplikasi sentiasa dikemas kini dengan auto update; biarkan antivirus hidup dan terkini; ambil serius amaran SmartScreen. Jika anda mengesyaki jangkitan, semak kekunci Run di atas, beritahu sokongan IT anda dan laporkan kepada agensi siber negara anda.

Bagi organisasi, timbunan pertahanan memang biasa tetapi wajar diulang: multi-factor authentication yang kalis phishing, application allowlisting dan kawalan peranti terurus, tools pengimbasan email serta pemantauan log untuk indikator di atas. Sama seperti pintu belakang supply-chain yang kami kupas sebelum ini, payload dihantar menerusi saluran yang dipercayai dan bersembunyi dalam trafik yang kelihatan sah — jadi pengesanan bergantung kepada memantau hujung chain, bukan menangkap satu artifak "malicious".

Satu perkara yang tidak dijawab advisory: dokumen itu tidak menyatakan sama ada sekadar membuang malware membersihkan kompromi sepenuhnya. Dan Telegram, apabila ditanya tentang amaran Mac, berkata moderatornya "secara rutin membuang mana-mana akaun yang didapati terlibat dengan malware" (TechCrunch). Agensi membentangkan kesimpulan mereka sebagai penilaian, bukan keputusan mahkamah.

Corak di sini sangat manusiawi — aktor ancaman negara bangsa yang menjalankan implant tersuai yang sebati dengan infrastruktur harian — dan pengajarannya berlapis. Untuk kru teknikal: Telegram sebagai C2 ialah peringatan bahawa "mesej disulitkan" bukan bermaksud "transport dipercayai", dan penyimpanan objek cloud ialah infrastruktur eksfiltrasi sebelum ia menjadi ciri kemudahan. Untuk mereka yang berada dalam profil sasaran: peranti anda ialah sasaran pengawasan, umpan disesuaikan khas, dan nasihatnya bermula dengan tidak membuka fail yang tidak diduga daripada orang yang berbunyi rasmi.

Sumber

• UK National Cyber Security Centre: Advisory: Iranian Cyber Targeting of Dissidents, Activists and Journalists
• FBI / Internet Crime Complaint Center: FBI/IC3 Analysis: Government of Iran Cyber Actors Deploy Telegram C2 (IA-20260915)
• The Hacker News: Iranian Hackers Use Telegram-Controlled Malware to Spy on Dissidents and Journalists
• The Record / Recorded Future News: Iranian cyber spies used fake MRI scan results to hack 'enemy of regime'
• TechCrunch: FBI says Iranian hackers are using Telegram to steal data in malware attacks