3 ชาติเตือนมัลแวร์อิหร่านสั่งการผ่าน Telegram สอดแนมผู้เห็นต่างและนักข่าวทั่วโลก

สรุปสั้น

หน่วยงานความมั่นคงไซเบอร์ของสหรัฐ อังกฤษ และเนเธอร์แลนด์ ได้เปิดเผยรายละเอียดของมัลแวร์บน Windows ที่ระบุว่าหน่วยข่าวกรองของอิหร่านใช้สอดแนมผู้เห็นต่าง นักข่าว และนักเคลื่อนไหวทั่วโลก มัลแวร์นี้ถูกควบคุมผ่านแอปส่งข้อความ Telegram และสามารถคัดลอกอีเมลและข้อความแชทของเป้าหมาย จับภาพหน้าจอ ตลอดจนเปิดใช้งานไมโครโฟนเพื่ออัดเสียงได้ โดย FBI เรียกมัลแวร์นี้ว่า HEAVYGRAM ส่วนศูนย์ความมั่นคงไซเบอร์แห่งชาติของอังกฤษ (NCSC) เรียกว่า CHOSEN BRICK

ประกาศร่วมนี้เผยแพร่เมื่อวันที่ 15 กันยายน 2569 โดย NCSC, FBI และหน่วยข่าวกรองของเนเธอร์แลนด์ (AIVD) พร้อมกันนี้ FBI ยังปล่อยบทวิเคราะห์มัลแวร์ฉบับปรับปรุงที่ต่อยอดจากการแจ้งเตือนเมื่อเดือนมีนาคม 2569 ซึ่งเป็นครั้งแรกที่อธิบายแคมเปญนี้ พร้อมรายละเอียดทางเทคนิคและตัวชี้วัดการถูกเจาะ (IoC) เพิ่มเติม FBI ระบุว่ามัลแวร์นี้เป็นของกระทรวงข่าวกรองและความมั่นคงของอิหร่าน (MOIS) ซึ่งเป็นหน่วยข่าวกรองหลักของประเทศ และประเมินว่าแคมเปญในวงกว้างเริ่มมาตั้งแต่ช่วงฤดูใบไม้ร่วงปี 2566 โดย CHOSEN BRICK ถูกใช้กับผู้คนในอังกฤษ สหรัฐ เนเธอร์แลนด์ และทั่วโลกมาตั้งแต่อย่างน้อยปี 2568

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 กันยายน 2569 ว่า เป้าหมายหลักของแคมเปญนี้คือผู้เห็นต่างชาวอิหร่าน นักข่าวที่ต่อต้านอิหร่าน นักเคลื่อนไหว และสมาชิกของกลุ่มที่มีมุมมองขัดแย้งกับรัฐบาล แต่ FBI เตือนว่าใครก็ตามที่อิหร่านมองว่าน่าสนใจก็อาจตกเป็นเป้าได้ หน่วยงานทั้งสามระบุว่าอันตรายไม่ได้อยู่แค่ข้อมูลที่ถูกขโมย เพราะภาพหน้าจอและข้อมูลที่เก็บได้สามารถเผยรายชื่อผู้ติดต่อ ตำแหน่งที่อยู่ และกิจวัตรประจำวันของเป้าหมาย ข้อมูลส่วนตัวของเหยื่อบางรายยังปรากฏบนเว็บไซต์ปล่อยข้อมูลที่สนับสนุนอิหร่าน ซึ่งประกาศระบุว่าอาจเพิ่มความเสี่ยงต่อความปลอดภัยของบุคคลเหล่านั้น

เมื่อเดือนมีนาคม กระทรวงยุติธรรมสหรัฐได้ยึดเว็บไซต์ปล่อยข้อมูลของอิหร่านสี่แห่งที่ระบุว่าถูกใช้โพสต์ข้อมูลที่ขโมยมาและเรียกร้องให้สังหารผู้เห็นต่าง นักข่าว และบุคคลอื่น หน่วยงานทั้งสามประเมินว่าอิหร่านแทบจะแน่นอนว่าใช้กิจกรรมไซเบอร์ลักษณะนี้เพื่อช่วยปราบปรามผู้ที่ตนมองว่าเป็นภัยคุกคาม และในบางกรณีหน่วยข่าวกรองของอิหร่านยังเคยวางแผนลักพาตัวหรือสังหารบุคคลเหล่านี้ในต่างประเทศ ทั้งนี้ทุกเวอร์ชันที่พบจนถึงตอนนี้ทำงานเฉพาะบน Windows เท่านั้น

วิธีการโจมตี

การโจมตีเริ่มจากข้อความ ผู้โจมตีจะปลอมตัวเป็นคนที่เป้าหมายรู้จักหรือเป็นฝ่ายสนับสนุนทางเทคนิคของแอปส่งข้อความ เพื่อสร้างความไว้วางใจก่อนส่งไฟล์ที่ดูเหมือนโปรแกรมถูกกฎหมาย โดยมักเริ่มที่เครื่องคอมพิวเตอร์ที่ทำงานของเป้าหมาย และหากไม่สำเร็จก็จะพยายามขยับไปยังอุปกรณ์ส่วนตัวที่ระบบความปลอดภัยขององค์กรไม่คุ้มครอง ไฟล์ปลอมที่พบมีทั้งแอป AI สร้างวิดีโอ Pictory, โปรแกรมจัดการรหัสผ่าน KeePass, ตัว Telegram เอง, RunwayML, Norton Antivirus และ Adobe Flash Player บางกรณีถึงกับทำให้ไฟล์ดูเหมือนผลสแกน MRI

เมื่อเป้าหมายเปิดไฟล์ หน้าจอปลอมที่น่าเชื่อจะปรากฏขึ้นขณะที่มัลแวร์ตัวจริงติดตั้งอยู่เบื้องหลัง ระยะแรกจะปลอมเป็นแอป และระยะที่สองจะเชื่อมเครื่องเข้ากับบอท Telegram ที่ผู้โจมตีใช้ควบคุมและเก็บข้อมูลที่ขโมยมา เพื่อให้อยู่รอดหลังรีสตาร์ต มัลแวร์จะเพิ่มตัวเองเข้าไปในคีย์ “Run” ของ Windows registry ให้เริ่มทำงานทุกครั้งที่ผู้ใช้ล็อกอิน และยังสั่งให้ Microsoft Defender ข้ามการสแกนบางโฟลเดอร์ นอกจากนี้แต่ละเครื่องที่ติดเชื้อจะได้บอท Telegram ของตัวเอง เพื่อไม่ให้กิจกรรมของเหยื่อรายหนึ่งปะปนกับอีกราย

เมื่อทำงานแล้ว มัลแวร์สามารถถูกสั่งให้ทำได้หลายอย่าง ทั้งแสดงรายการโปรแกรมที่รันอยู่ จับภาพหน้าจอ เปิดไมโครโฟน คัดลอกข้อมูล Telegram และ WhatsApp จากเบราว์เซอร์ ขโมยรหัสผ่านและอีเมลที่บันทึกไว้ ดาวน์โหลดมัลแวร์เพิ่ม และลบไฟล์ โดยอย่างน้อยหนึ่งเวอร์ชันยังล้างข้อมูลทั้งเครื่องได้ด้วย หน่วยงานระบุว่ายังไม่เคยพบมัลแวร์แพร่กระจายข้ามเครือข่ายด้วยตัวเอง แม้จะดาวน์โหลดเครื่องมือเพิ่มได้ ไฟล์ที่ขโมยจะออกจากเครื่องผ่านบอท Telegram และบริการเก็บข้อมูลบนคลาวด์อย่าง Vultr และ Storj ขณะที่เวอร์ชันใหม่จะส่งทราฟฟิก Telegram ผ่านพร็อกซีเพื่อซ่อนตัว

ผลกระทบ

แม้เป้าหมายหลักจะเป็นผู้เห็นต่างและนักข่าวชาวอิหร่าน แต่ FBI เตือนว่าใครก็ตามที่รัฐอิหร่านมองว่าน่าสนใจก็อาจตกเป็นเป้าได้ ทำให้ภัยนี้ขยายวงไปถึงนักกิจกรรม องค์กรภาคประชาสังคม และสื่อในหลายประเทศ ความอันตรายที่แท้จริงไม่ได้อยู่แค่ข้อมูลที่รั่ว แต่อยู่ที่การที่ภาพหน้าจอและข้อมูลกิจวัตรสามารถเผยตำแหน่งและเครือข่ายผู้ติดต่อของเป้าหมาย ซึ่งในกรณีของรัฐที่มีประวัติวางแผนลักพาตัวหรือสังหารในต่างประเทศ ข้อมูลเหล่านี้อาจแปลงเป็นภัยคุกคามต่อชีวิตได้โดยตรง

ในเชิงการป้องกัน การที่มัลแวร์เจาะจากเครื่องที่ทำงานแล้วขยับไปเครื่องส่วนตัวเป็นจุดที่องค์กรต้องระวัง เพราะอุปกรณ์ส่วนตัวมักไม่มีระบบความปลอดภัยขององค์กรคุ้มครอง และการที่มัลแวร์สั่ง Microsoft Defender ให้ข้ามโฟลเดอร์ทำให้การตรวจจับด้วยแอนตี้ไวรัสเพียงอย่างเดียวไม่เพียงพอ

คำแนะนำ

สำหรับบุคคลทั่วไป หน่วยงานแนะนำว่าไม่ควรเปิดไฟล์ที่ส่งมาผ่านข้อความหรือลิงก์ และดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ทางการหรือแอปสโตร์เท่านั้น อัปเดตระบบปฏิบัติการและแอปทั้งหมดให้เป็นปัจจุบันโดยเปิดอัปเดตอัตโนมัติ ใช้แอนตี้ไวรัสและเปิดใช้งานให้ทันสมัยอยู่เสมอ และอย่ามองข้ามคำเตือนของ SmartScreen เมื่อดาวน์โหลดไฟล์ ส่วนผู้ดูแลเครือข่ายควรเปิดใช้การยืนยันตัวตนหลายปัจจัยที่ต้านฟิชชิงได้ ใช้การอนุญาตเฉพาะแอปที่ไว้วางใจ (application allowlisting) และการควบคุมอุปกรณ์ที่บริหารจัดการ ใช้เครื่องมือสแกนและความปลอดภัยที่ผู้ให้บริการอีเมลมีให้ พร้อมเฝ้าติดตามเครื่องและทราฟฟิกเครือข่าย และค้นหาตัวชี้วัดในบันทึกล็อก ใครที่สงสัยว่าติดเชื้อควรตรวจคีย์ “Run” ที่อธิบายไว้ แจ้งฝ่าย IT และรายงานต่อหน่วยงานไซเบอร์ของประเทศ

Indicators of Compromise (IoCs)

หมายเหตุ: อินดิเคเตอร์บางส่วนถูก defang แล้ว รายการเต็มรวมค่าแฮชไฟล์อยู่ในบทวิเคราะห์ของ FBI และประกาศร่วม โดยชื่อไฟล์และโฟลเดอร์อาจเปลี่ยนได้ จึงไม่ควรใช้เป็นสัญญาณเดียวที่เฝ้าระวัง

แหล่งอ้างอิง

• Iranian Hackers Use Telegram-Controlled Malware to Spy on Dissidents and Journalists — The Hacker News
• Iranian cyber targeting of dissidents, activists and journalists — UK NCSC
• Government of Iran cyber actors deploy Telegram C2 to push malware — FBI