イラン関連グループ「Handala Hack」、TelegramをC2に悪用するバックドア「HEAVYGRAM」でパスワードや機密情報を窃取

要点

• セキュリティ企業Group-IBなどの調査により、イラン関連の脅威ペルソナ「Handala Hack」がバックドア「HEAVYGRAM」や検知回避ツール「CRUDEEXCLUDE」を使用している実態が明らかになった。
• HEAVYGRAMはPython製マルウェアで、TelegramをC2サーバーとして利用し、パスワード窃取や遠隔コマンド実行、マイク録音などを行う。
• 攻撃者はSNS上でサポート担当者などになりすまし、KeePassやPictoryなどの正規ソフトウェアを偽装したインストーラーを通じて標的へ感染させる。
• 米FBIや英米加の治安機関は、イラン情報安全保障省（MOIS）が反体制派や報道関係者を標的とした諜報・妨害活動を行っているとして警戒を呼びかけている。

---

イラン関連のサイバー攻撃グループが、メッセージングアプリ「Telegram」を遠隔操作の基盤として悪用するバックドアを駆使し、反体制派やジャーナリストを標的とした攻撃を継続していることが、セキュリティ企業Group-IBの調査報告や各国治安当局の警告によって明らかになった。

この活動は「Handala Hack」と呼ばれるペルソナによって展開されており、「HEAVYGRAM」と名付けられた監視用バックドアや、セキュリティ機能を無効化するツール「CRUDEEXCLUDE」が用いられているという。

脅威ペルソナ「Handala Hack」の背景と標的

「Handala Hack」は、2023年10月7日にパレスチナの武装勢力がイスラエル南部を攻撃した直後に出現したオンラインペルソナ（サイバー空間上で特定の立場を装う偽装キャラクター）である。セキュリティ分析では、イランの情報安全保障省（MOIS）と関係を持つ脅威グループ「Void Manticore」（別名：Banished Kitten、Red Sandstorm、Storm-0842）によって運用されていると評価されている。

同グループはこれまでにも、端末内のデータを破壊・消去するワイパー攻撃や、侵入して窃取した情報を公に暴露する「ハック＆リーク」攻撃を行ってきた経緯がある。カナダの迅速対応メカニズム（RRM）が昨年9月に発表した警告によると、同グループはカナダ人を含むイラン系独立メディア「イラン・インターナショナル」のジャーナリスト5人を標的にし、個人情報をネット上に晒すドキシグ（Doxxing）を伴う情報漏洩活動を実施していたという。

さらに、米連邦捜査局（FBI）も2026年3月および直近の警告において、MOIS傘下の攻撃者がイランの反体制派や反体制的なジャーナリストを標的に諜報活動を展開し、データの窃取や標的の社会的信用を傷つける攻撃を行っていると非難している。

Telegramを遠隔操作に悪用するバックドア「HEAVYGRAM」

今回詳細が報告された「HEAVYGRAM」は、Python言語で記述された監視用のバックドア（外部からシステムを遠隔操作するために秘密裏に作られる不正な侵入口）である。Group-IBによれば、このマルウェアは2023年9月に初めて実際の攻撃環境で検出された。

HEAVYGRAMの特徴は、メッセージングアプリ「Telegram」をC2（コマンド＆コントロール：感染端末へ外部から遠隔操作の指示を送受信する仕組み）として利用する点にある。攻撃者はTelegramのボット機能を悪用し、以下のような接頭辞（プレフィックス）を用いたメッセージを送信して感染端末を制御する。

• 接頭辞「@@」：os.popenを介してWindows上で任意のシステムコマンドを実行する。
• 接頭辞「」：メッセージ本文を C:\ProgramData\ur.txt ファイルに書き込む。
• 接頭辞「##」：バックドアが備えるコマンドスイート機能を有効化する。

これらのコマンドを通じて、HEAVYGRAMは稼働中プロセスの取得、画面のスクリーンショット撮影、マイク機能の起動、ブラウザに保存されたパスワードやデータの窃取、TelegramやWhatsAppのセッションファイル持ち出し、追加マルウェアのダウンロードやファイル削除など、広範な監視・遠隔操作を実行できるという。

端末に侵入すると、マルウェアはMicrosoft Defenderが不正なペイロード（攻撃処理本体）を配置するパスをスキャンしないよう除外設定を行い、PowerShellコードを実行してWindowsレジストリの自動実行キーに登録することで、端末再起動後も活動を継続する永続化の仕組みを確立する。

侵入の手口と事前準備ツール「CRUDEEXCLUDE」

標的に対する感染の流れには、ソーシャルエンジニアリング（人の心理的な隙や信頼関係を利用して不正なファイルを開かせる手口）が用いられている。

攻撃者はTelegram、WhatsApp、InstagramなどのSNSやメッセージングアプリを通じて標的に接触する。その際、テクニカルサポートの担当者を装ったり、信頼できる知人になりすましたりして関係を構築し、無害に見えるインストーラーファイルを標的に送付する。

送り込まれるファイルは、パスワード管理ソフト「KeePass」や動画生成ツール「Pictory」、あるいは「Telegram」自体の正規インストーラーに偽装されており、ユーザーが実行すると内部に含まれていた第2段階の不正プログラムが展開される仕組みとなっている。

この展開プロセスを支えるのが、Delphi言語で開発されたWindows向けユーティリティ「CRUDEEXCLUDE」である。2024年7月下旬に初観測されたこのツールは、GUI（グラフィカルユーザーインターフェース：視覚的な操作画面）を備えた正規アプリケーションのように見せかけながら、HEAVYGRAMなどの後続マルウェアが検知されずに配備できるよう、Microsoft Defenderの除外設定をあらかじめ構成する役割を担っている。

各国当局による監視状況

英国国家サイバーセキュリティセンター（NCSC）においても、このマルウェアファミリーは「CHOSEN BRICK」というコードネームで追跡されている。NCSCは同マルウェアについて、攻撃者が求める多様な作戦結果を支援できる柔軟なツールであると説明している。