De Nederlandse inlichtingendienst AIVD heeft samen met de Amerikaanse FBI en de Britse NCSC een gezamenlijk advisory gepubliceerd over Windows-malware die Iran inzet om dissidenten, journalisten en activisten wereldwijd te bespioneren. Nederland is dus mede-auteur van de waarschuwing, wat het onderwerp direct relevant maakt voor de Nederlandse cybersecuritygemeenschap en voor Iraanse ballingen die hier wonen.
Achter de campagne zit volgens de drie diensten Irans Ministry of Intelligence and Security (MOIS), de belangrijkste inlichtingendienst van het land. De malware zelf staat bekend onder twee namen: de FBI noemt hem HEAVYGRAM, de Britse NCSC spreekt van CHOSEN BRICK.
Slachtoffers worden benaderd met phishingberichten die een vermomd bestand bevatten. Openen ze dat bestand, dan installeert de malware zich stilletjes op de achtergrond en legt hij verbinding met een bot in Telegram. Via die bot sturen de aanvallers commando’s en voeren ze functies uit:
- lopende programma’s opvragen en bestanden verwijderen
- screenshots maken en de microfoon aanzetten om gesprekken op te nemen
- Telegram- en WhatsApp-gegevens uit de browser kopiëren
- opgeslagen wachtwoorden en e-mailadressen stelen
- aanvullende malware downloaden
Gestolen data verlaat de computer via Telegram-bots en clouddiensten als Vultr en Storj, waardoor het verkeer moeilijk opvalt tussen normaal internetgebruik. Doelwitten zijn vooral Iraanse dissidenten, journalisten die kritisch over Iran berichten, activisten en leden van groepen die zich tegen het regime keren.
Voor Nederlandse dissidenten, journalisten en mensenrechtenorganisaties die met Iran te maken hebben is voorzichtigheid geboden. Open geen bijlagen of links van onbekende afzenders, ook niet als ze via Telegram binnenkomen, en controleer bestandsextensies voordat je iets opent. Schakel waar mogelijk tweefactorauthenticatie in en laat gevoelige apparaten regelmatig scannen op malware. Bij twijfel over een verdacht bericht is melden bij de AIVD of een gespecialiseerde organisatie als Free Press Unlimited een verstandige stap.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.