Специалисты раскрыли детали операций иранской проправительственной хакерской группы Handala Hack — также известной как Void Manticore. Выяснилось, что злоумышленники активно используют бэкдор HEAVYGRAM и вспомогательную утилиту CRUDEEXCLUDE для шпионажа за диссидентами, журналистами и оппозиционными структурами.
Для внедрения вредоносного ПО хакеры применяют методы социальной инженерии. Они связываются с жертвами в мессенджерах Telegram, WhatsApp и Instagram под видом знакомых или специалистов техподдержки, после чего убеждают их установить поддельные версии популярных программ — например, KeePass, Telegram или сервиса Pictory.
Под видом легитимных приложений скрывается утилита CRUDEEXCLUDE, написанная на Delphi. Ее главная задача — подготовить систему к запускe шпионского софта и добавить необходимые папки в исключения защитника Microsoft Defender, чтобы избежать обнаружения.
Затем в систему внедряется бэкдор HEAVYGRAM. Созданный на базе Python, он использует Telegram в качестве каналов управления и передачи украденных данных. Вредонос способен делать скриншоты, перехватывать информацию из браузеров, включать микрофон, скачивать файлы, а также полностью извлекать пароли и сессионные данные Telegram и WhatsApp.
Западные спецслужбы подтвердили, что Handala Hack действует в интересах Министерства информации и национальной безопасности Ирана, совмещая кибершпионаж с деструктивными атаками-вайперами и сливом конфиденциальных данных.
