イラン情報機関、Telegramを悪用した監視マルウェアで反体制派や記者を標的に——米英蘭当局が共同警告

要点

• 米FBI、英NCSC、オランダAIVDは、イラン情報安全保障省（MOIS）が主導するWindows向けスパイマルウェアに関する共同勧告を発表した。

• マルウェアは「HEAVYGRAM」または「CHOSEN BRICK」と呼ばれ、通信アプリ「Telegram」のボットを遠隔操作に悪用する。

• 主な標的はイラン国外の反体制派、ジャーナリスト、活動家で、音声録音や画面撮影、チャット履歴などの情報が窃取されていた。

• 知人やITサポートを装い、AI動画ツールや正規ソフトウェアに偽装したファイルを送りつける手口が確認されている。

• 窃取された個人情報は暴露サイトに掲載されており、被害者に対する身体的な危害や脅迫につながる恐れがあると警告されている。

• 米連邦捜査局（FBI）、英国家サイバーセキュリティセンター（NCSC）、オランダ総合情報保安局（AIVD）は2026年9月15日、イランの情報機関が世界各地の反体制派やジャーナリストを標的としたサイバースパイ活動を展開しているとして、共同勧告を発表しました。攻撃にはWindows環境で動作し、メッセージングアプリ「Telegram」を介して遠隔操作されるマルウェアが使用されています。FBIはこのマルウェアを「HEAVYGRAM」、英NCSCは「CHOSEN BRICK」と命名し、警戒を呼びかけています。

標的と背景：反体制派やジャーナリストの日常を監視、身体的危害の恐れも

勧告によると、このサイバー攻撃作戦の背後にはイランの主要情報機関である情報安全保障省（MOIS）が存在します。一連の活動は2023年秋から続いており、CHOSEN BRICKを用いた攻撃も2025年以降、イギリス、アメリカ、オランダをはじめ世界各地で確認されています。

標的の中心は、イラン政府に対立する反体制派、ジャーナリスト、活動家などですが、当局はイラン側が関心を持つ人物であれば誰でも狙われる可能性があると指摘しています。

この攻撃の危険性は、機密データの窃取にとどまりません。盗まれた連絡先、位置情報、日々の行動パターンから標的の居場所が特定され、親イラン派の暴露サイトに個人情報が公開される事例も発生しています。2026年3月には、標的の個人情報を晒して殺害を扇動していたイラン系サイト4件を米司法省が差し押さえました。治安当局は、イラン情報機関が海外在住の標的を拉致・殺害する計画を立てる際、こうしたサイバー監視で得た情報を利用している可能性が極めて高いと分析しています。

侵入の手口：知人やサポートを装い、業務端末から個人PCへ

攻撃は、標的に接触するソーシャルエンジニアリング（人の心理的な隙や信頼関係を突く手口）から始まります。攻撃者は標的の知人やメッセージアプリの技術サポート担当者になりすまして信頼を得た後、正規のプログラムに見せかけた不正ファイルを送信します。

手口の特徴として、まず標的の業務PCを狙い、セキュリティ等で失敗した場合には対策が手薄な個人端末へとターゲットを移す動きが確認されています。

悪用された偽装ファイルには、AI動画ツール「Pictory」や「RunwayML」、パスワード管理ツール「KeePass」、Telegramアプリ本体、セキュリティソフト「Norton Antivirus」、さらには「Adobe Flash Player」やMRI検査結果に見せかけたファイルなどがあります。標的がファイルを開くと、偽の画面が表示される裏で2段階のインストールが進行し、最終的にTelegramボットへ接続するマルウェア本体が組み込まれます。なお、確認された検体はすべてWindows OSのみを対象としています。

マルウェアの機能：Telegramボットを通じた遠隔操作とデータ持ち出し

端末に侵入したマルウェアは、再起動後も常駐するためにWindowsレジストリの「Run」キーに自身を登録します。さらに、標準セキュリティ機能「Microsoft Defender」の設定を変更し、特定のフォルダをスキャン対象から除外させて検知を逃れます。

また、感染端末ごとに固有のTelegramボットが1対1で割り当てられ、他の被害者の通信と混ざらない構造になっています。

攻撃者はTelegramを通じて以下のような多様な命令を実行可能です。

• 画面のスクリーンショット撮影や、内蔵マイクを起動した音声の盗聴
• ブラウザ経由でのTelegramやWhatsAppのチャット履歴、保存されたパスワードやメールアドレスの収集
• 実行中プログラムの一覧取得、追加マルウェアのダウンロード、ファイルの削除や端末データの完全消去（ワイプ）

マルウェア単体でネットワーク内を自律感染する機能はありませんが、外部ツールを追加取得できます。盗み出したデータはTelegramボットのほか、「Vultr」や「Storj」といったクラウドストレージを介して外部へ転送されます。最新版では、プロキシサーバーを経由してTelegram通信を隠蔽する細工も施されています。

早期検知に向けた侵害指標（IoC）

当局は、感染の有無を確認するための主な指標（IoC：セキュリティ侵害の痕跡情報）として以下を公開しています。

• レジストリ: ログイン時に自動起動するRunキーとして「SMQDService」または「winappx」が登録されている。
• 不自然なフォルダ配置: 末尾に不審な空白を含むパス C:\Windows \SysWOW64 にファイルが保存されている。
• 不審な通信先: api.telegram.org への想定外のアクセスのほか、vultrobjects.com、storjshare.io、backblazeb2.com、iproyal.com、lightningproxies.net などのクラウドやプロキシサービスへの接続。
• ミューテックス（二重起動防止の識別名）: システム内に ytyjyujyu や noi672pp434awkc12f といった固有の文字列が存在する。

補足

FBIは2026年3月にも同様の警告を出していましたが、今回の勧告では最新の検体分析と新たな侵害指標が追加され、大幅に情報が更新されました。