Trong một cảnh báo khẩn cấp mới đây, FBI cho biết Telegram đang được sử dụng làm cơ sở hạ tầng điều khiển và ra lệnh (C2) bởi phần mềm độc hại nhắm mục tiêu vào các nhà báo chỉ trích chính phủ, những người bất đồng chính kiến tại Iran và nhiều nhóm đối lập khác trên toàn thế giới.
FBI thông tin: “Do tình hình địa chính trị căng thẳng ở Trung Đông và xung đột hiện tại, FBI đang nhấn mạnh về các hoạt động tấn công mạng của các tin tặc Iran. Phần mềm độc hại được những kẻ tấn công phát tán dẫn đến việc thu thập thông tin tình báo, rò rỉ dữ liệu và gây tổn hại đến uy tín của các bên bị nhắm mục tiêu. Chúng tôi công bố thông tin này nhằm nâng cao nhận thức về hoạt động mạng độc hại và cung cấp các chiến lược giảm thiểu rủi ro bị xâm phạm”.
Cơ quan này đã liên kết các cuộc tấn công với nhóm tin tặc Handala (còn được gọi là Handala Hack Team, Hatef, Hamsa), cũng như nhóm Homeland Justice, có liên quan đến Lực lượng Vệ binh Cách mạng Hồi giáo Iran (IRGC).
Trong các cuộc tấn công này, các tin tặc sử dụng kỹ thuật thao túng tâm lý để lây nhiễm phần mềm độc hại Windows vào thiết bị của mục tiêu, cho phép chúng đánh cắp ảnh chụp màn hình hoặc tệp tin từ các máy tính bị xâm nhập.
“Các tác nhân đe dọa có thể sử dụng bất kỳ kênh nào có sẵn để điều khiển mã độc, bao gồm các ứng dụng nhắn tin, email hoặc thậm chí cả kết nối web trực tiếp. Mặc dù việc sử dụng Telegram để điều khiển phần mềm không có gì đặc biệt, nhưng người kiểm duyệt thường xuyên xóa bất kỳ tài khoản nào bị phát hiện có liên quan đến phần mềm độc hại”, một phát ngôn viên của Telegram chia sẻ.
Các cuộc tấn công phát tán mã độc của tin tặc Iran lợi dụng Telegram
Cảnh báo này được công bố một ngày sau khi FBI tịch thu bốn tên miền (handala-redwanted[.]to, handala-hack[.]to, justicehomeland[.]org và karmabelow80[.]org).
Các trang web có thể truy cập thông qua các tên miền bị tịch thu trên mạng Internet đã được các nhóm tội phạm mạng Handala và Homeland Justice, cùng một nhóm thứ ba được theo dõi với tên gọi Karma Below, sử dụng trong các cuộc tấn công của chúng, để rò rỉ các tài liệu và dữ liệu nhạy cảm bị đánh cắp trong các cuộc tấn công mạng nhắm vào các nạn nhân ở Mỹ và trên toàn thế giới.
Những hành động này diễn ra sau cuộc tấn công mạng của Handala nhằm vào tập đoàn y tế khổng lồ Stryker của Mỹ, trong đó những kẻ tấn công đã khôi phục cài đặt gốc khoảng 80.000 thiết bị (bao gồm máy tính cá nhân của nhân viên và thiết bị di động do công ty quản lý) bằng lệnh xóa dữ liệu Microsoft Intune sau khi chiếm đoạt tài khoản quản trị miền và tạo một tài khoản Global Administrator mới.
