HEAVYGRAM มัลแวร์สอดแนม Windows เปลี่ยน Telegram เป็นศูนย์บัญชาการ — เล็งนักข่าวและผู้เห็นต่างอิหร่าน

สรุปสั้น

HEAVYGRAM คือแบ็กดอร์สอดแนมบน Windows ที่เปลี่ยน Telegram ให้กลายเป็นศูนย์บัญชาการปฏิบัติการของผู้โจมตี แทนที่จะพึ่งเซิร์ฟเวอร์ควบคุมเฉพาะตัว มันใช้บอต บัญชี และกลุ่มบน Telegram ในการรับคำสั่ง ส่งข้อมูลที่ขโมยออกไป และคงการควบคุมเครื่องที่ติดไว้ มัลแวร์ตัวนี้ถูกใช้มาตั้งแต่ช่วงปลายปี 2566 เล่นงานนักข่าว ผู้เห็นต่างชาวอิหร่าน และผู้ที่มีจุดยืนต่อต้านรัฐบาลอิหร่าน โดยเหยื่อถูกทาบทามผ่านแอปรับส่งข้อความจากคนที่ปลอมตัวเป็นผู้ติดต่อที่คุ้นเคยหรือฝ่ายสนับสนุนทางเทคนิค แล้วส่งไฟล์ที่อำพรางเป็นแอปพลิเคชันหรือบริการมาให้

นักวิจัยของ Group-IB พบตัวอย่าง HEAVYGRAM, loader และเพย์โหลดเพิ่มอีก 29 ชิ้นระหว่างติดตามปฏิบัติการนี้ ผลการวิเคราะห์ต่อยอดจากการเปิดเผยของรัฐบาลสหรัฐ และเชื่อมโยงปฏิบัติการเข้ากับกลุ่ม Handala Hack ด้วยความมั่นใจปานกลาง สะท้อนความพยายามสอดแนมที่สร้างขึ้นรอบ ๆ การหลอกลวงทางวิศวกรรมสังคมและการฝังตัวระยะยาว ผลกระทบไปไกลกว่าเครื่องเดียวที่ติด เพราะ HEAVYGRAM เก็บภาพหน้าจอและเสียง ดักข้อมูลที่แคชไว้ ขโมยข้อมูล Telegram Desktop รันคำสั่ง เพิ่มเพย์โหลดใหม่ และลบไฟล์ได้ ซึ่ง Group-IB ระบุว่าการรวมความสามารถเหล่านี้สร้างความเสี่ยงต่อแหล่งข่าว การสื่อสารส่วนตัว และงานอ่อนไหวของผู้ที่ตกเป็นเป้าหมาย

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า บริษัท Group-IB เผยแพร่รายงานเปิดโปงมัลแวร์สอดแนม HEAVYGRAM ที่ใช้ Telegram เป็นช่องทางสั่งการและควบคุม (C2) โดยผู้ปฏิบัติการของ HEAVYGRAM ใช้ bot API ของ Telegram ทำให้เครื่อง Windows ที่ติดเข้ามารายงานตัว รับคำสั่ง และส่งผลลัพธ์กลับ การตั้งค่าแบบหนึ่งพึ่งบอตเพียงตัวเดียว ขณะที่อีกแบบใช้สองบอตสำหรับการเช็กอิน การบันทึกล็อก และการส่งมอบเพย์โหลดขั้นถัดไป โมเดลนี้ทำให้ทราฟฟิกอันตรายดูเหมือนกิจกรรมเว็บทั่วไป

หลังการติดตั้ง implant จะบันทึกชื่อเครื่องและส่งสัญญาณบีคอนครั้งแรก จากนั้นส่งข้อความตรวจสอบสุขภาพทุก 24 ชั่วโมงเพื่อให้ผู้ปฏิบัติการรู้ว่าเครื่องยังทำงานอยู่หรือไม่ คำสั่งที่รับได้ครอบคลุมการเปิดโปรแกรม เก็บรายละเอียดระบบ จับภาพหน้าจอ รันมัลแวร์ขั้นที่สอง และขโมยไฟล์ Telegram Desktop การโจมตีเริ่มจากไฟล์ล่อลวงที่น่าเชื่อถือ โดยไฟล์ขั้นแรกเคยปลอมเป็นโปรแกรมอย่าง Pictory, KeePass และโปรแกรมที่เกี่ยวข้องกับ Telegram ด้วยชื่อที่เลือกให้ดูถูกต้องตามกฎหมาย บางห่วงโซ่การส่งมอบใช้สคริปต์หรือ HTML application ขณะที่บางชุดแตกไฟล์ archive ที่ฝังไว้ออกมา งานวิจัยยังเชื่อมโยง HEAVYGRAM เข้ากับแคมเปญที่พุ่งเป้าไปยังบุคคลที่เป็นที่สนใจของอิหร่าน รวมถึงนักข่าวของสำนักข่าวภาษาฟาร์ซีที่ตั้งอยู่ในสหราชอาณาจักร และเหยื่อในสหรัฐที่ปรากฏในบันทึกสาธารณะ

การระบุตัวผู้อยู่เบื้องหลังและชื่อเรียกต่างสำนัก

รายงานจากเว็บไซต์ The Hacker News (17 กันยายน 2569) ที่อ้างข้อมูลของบริษัท Group-IB ให้รายละเอียดการระบุตัวเพิ่มเติมว่า Handala Hack แม้จะวางตัวเป็น “แฮ็กทิวิสต์” แต่แท้จริงประเมินว่าเป็นตัวตนออนไลน์ที่ดำเนินการโดยกลุ่ม Void Manticore (หรือที่รู้จักในชื่อ Banished Kitten, Red Sandstorm และ Storm-0842) ซึ่งเป็นผู้ก่อภัยคุกคามที่เชื่อมโยงกับกระทรวงข่าวกรองและความมั่นคงของอิหร่าน (MOIS) กลุ่มนี้ก่อตัวขึ้นหลังเหตุการณ์โจมตีด้วยอาวุธเมื่อวันที่ 7 ตุลาคม 2566 และมีประวัติทั้งการโจมตีแบบล้างข้อมูล (wiping) และปฏิบัติการแฮ็กแล้วปล่อยข้อมูล (hack and leak) โดยเมื่อเดือนกันยายนปีก่อน กลไก Rapid Response Mechanism ของแคนาดาเคยออกมาเตือนว่ากลุ่มนี้พุ่งเป้าและเปิดเผยข้อมูลส่วนตัว (doxxing) นักข่าวของ Iran International จำนวน 5 คน

ผลการวิเคราะห์ครั้งนี้ต่อยอดจากการแจ้งเตือนที่สำนักงานสอบสวนกลางสหรัฐ (FBI) ออกครั้งแรกเมื่อเดือนมีนาคม 2569 และย้ำอีกครั้งเมื่อต้นสัปดาห์ที่ผ่านมา ซึ่งกล่าวหาผู้ก่อภัยคุกคามชาวอิหร่านที่ทำงานในนามของ MOIS ว่าพุ่งเป้าไปยังผู้เห็นต่าง นักข่าวที่ต่อต้านอิหร่าน และกลุ่มฝ่ายค้าน เพื่อเก็บข่าวกรอง ปล่อยข้อมูล และสร้างความเสียหายต่อชื่อเสียงของเป้าหมาย เป็นที่น่าสังเกตว่าศูนย์ความมั่นคงไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ติดตามมัลแวร์ตระกูลเดียวกันนี้ภายใต้ชื่อ CHOSEN BRICK โดยอธิบายว่าเป็นเครื่องมือที่ยืดหยุ่นและใช้รองรับผลลัพธ์ทางปฏิบัติการได้หลายรูปแบบ ส่วนตัว CRUDEEXCLUDE ที่มาคู่กันนั้นเป็นยูทิลิตีบน Windows ที่เขียนด้วย Delphi พบครั้งแรกช่วงปลายเดือนกรกฎาคม 2567 มักอำพรางเป็นแอปพลิเคชันที่มีหน้าจอกราฟิก และตั้งค่าเส้นทางยกเว้นของ Microsoft Defender เพื่อหลบการตรวจจับ โดย Google เคยบันทึกไว้เมื่อเดือนธันวาคม 2568 ว่า CRUDEEXCLUDE ถูกใช้จัดเตรียมไดเรกทอรีสำหรับวาง HEAVYGRAM และมัลแวร์อีกตระกูลชื่อ SHADEGENES

วิธีการโจมตี

เหยื่อจะเห็นเอกสารหรือวิดีโอล่อลวงในขณะที่มัลแวร์ดึงเพย์โหลดขั้นถัดไปและสร้างการฝังตัว ผู้ปฏิบัติการสามารถดึงไฟล์แนบผ่าน Telegram มารันบนเครื่องในภายหลัง และใช้เทคนิค DLL side-loading ที่โปรแกรมถูกต้องตามกฎหมายโหลดไฟล์คู่ที่เป็นอันตรายเข้ามา implant ยังใช้เรกคอร์ดใน Windows registry เพื่ออยู่รอดหลังรีสตาร์ต และตัวอย่าง CRUDEEXCLUDE ที่มาคู่กันอาจเพิ่มเส้นทางยกเว้นด้านความปลอดภัยก่อนปล่อย HEAVYGRAM เพื่อลดโอกาสถูกตรวจจับ รายงานของ Group-IB ระบุว่า HEAVYGRAM ถูกส่งมอบผ่านสี่วิธีหลัก ได้แก่ สคริปต์ WSF/VBS, ไฟล์ VBScript คู่กับ HTML Application (HTA), ไฟล์รันได้ที่ฝัง archive ไว้ภายใน และผ่าน CRUDEEXCLUDE ที่บรรจุ archive ฝังไว้ ส่วนไฟล์แนบที่รับเข้ามาผ่านบอต Telegram จะถูกจัดการตามรูปแบบการจับคู่ชื่อไฟล์ (filename pattern matching)

การเชื่อมโยงกับกลุ่ม Handala Hack ยังสอดคล้องกับประวัติการปฏิบัติการเชิงบีบบังคับที่กว้างขึ้นของกลุ่ม รวมถึงการบุกรุกเชิงทำลายที่โยงกับ MOIS ซึ่งเคยส่งผลกระทบต่อองค์กรในหลายประเทศ ความสามารถของ HEAVYGRAM ที่เก็บทั้งภาพหน้าจอ เสียง ข้อมูลที่แคชไว้ และข้อมูล Telegram Desktop ทำให้มันเป็นเครื่องมือสอดแนมที่ออกแบบมาเพื่อเจาะเข้าถึงการสื่อสารและตัวตนของเป้าหมายโดยตรง มากกว่าจะเป็นมัลแวร์ทั่วไปที่มุ่งขโมยเงินหรือแพร่กระจายเป็นวงกว้าง

กลไกสั่งการผ่าน Telegram

HEAVYGRAM เขียนด้วยภาษา Python และตีความข้อความที่รับเข้ามาจากบอต Telegram ผ่านระบบคำนำหน้า (prefix delimiter) เพื่อแยกประเภทคำสั่ง โดยคำนำหน้า @@ ใช้รันคำสั่งระบบตามอำเภอใจผ่าน os.popen, คำนำหน้า ** ใช้เขียนเนื้อความลงไฟล์ C:\ProgramData\ur.txt และคำนำหน้า ## ใช้เปิดชุดคำสั่งแบ็กดอร์ที่รองรับความสามารถหลายอย่าง ได้แก่ runexe เริ่มโพรเซสตามอำเภอใจบนเครื่อง, whois ดึงที่อยู่ IP สาธารณะของเครื่องผ่าน api.ipify[.]org, runtro รันเพย์โหลดโทรจันขั้นที่สอง, cht อัปเดตโทเค็นบอต C2 และรหัสผู้ใช้ผู้ปฏิบัติการแบบไดนามิก, regtro และ reg ติดตั้งเพย์โหลดโทรจันหรือไฟล์มัลแวร์หลักลงในคีย์ autorun ของ Windows Registry และ dt ดึงข้อมูลแอป Telegram Desktop ออกไป

ในภาพรวมความสามารถของ implant ครอบคลุมการแสดงรายการโปรแกรมที่กำลังทำงาน จับภาพหน้าจอ ดักข้อมูลเว็บเบราว์เซอร์ อัปโหลดและดาวน์โหลดไฟล์ เปิดไมโครโฟน คัดลอกข้อมูลทั้งของ Telegram และ WhatsApp ขโมยรหัสผ่านที่บันทึกไว้ ดาวน์โหลดมัลแวร์เพิ่ม และลบไฟล์ ส่วนโครงสร้างพื้นฐานฝั่ง Telegram มีสองรูปแบบหลัก คือแบบที่ C2 พึ่งบอตและกลุ่มเพียงชุดเดียว กับอีกแบบที่ใช้บอตหนึ่งตัวจัดการการเช็กอิน ขณะที่บอตอีกตัวจัดการการบันทึกล็อกและการดึงเพย์โหลดขั้นถัดไปคู่กับกลุ่ม Group-IB ระบุว่าการใช้ Telegram อย่างแพร่หลายทั่วปฏิบัติการนี้มีจุดเด่นตรงที่ให้ช่องทางสั่งการที่เข้ารหัสมาในตัว พร้อมต้นทุนในการตั้งค่า ดูแล และหมุนเปลี่ยนที่ต่ำ

ผลกระทบ

HEAVYGRAM เป็นตัวอย่างของมัลแวร์สอดแนมที่ออกแบบมาเพื่อ “คน” ไม่ใช่เพื่อ “องค์กร” — เป้าหมายคือนักข่าวและผู้เห็นต่างซึ่งข้อมูลที่ถูกขโมยอาจหมายถึงความปลอดภัยของแหล่งข่าวและตัวบุคคล การเลือกใช้ Telegram เป็นช่องทาง C2 ทำให้การตรวจจับยากขึ้น เพราะทราฟฟิกไปยัง bot API ปะปนกับการใช้งาน Telegram ตามปกติ องค์กรหรือบุคคลที่ตกเป็นเป้าจึงยากที่จะแยกสัญญาณอันตรายออกจากกิจกรรมทั่วไป ประเด็นที่ต้องระวังคือความสามารถขโมยข้อมูล Telegram Desktop โดยตรง ซึ่งหมายความว่าบัญชีและบทสนทนาที่ผู้ใช้เชื่อว่าปลอดภัยอาจถูกดึงออกไปทั้งชุด สำหรับผู้ที่ทำงานด้านสื่อ สิทธิมนุษยชน หรือเคลื่อนไหวทางการเมืองที่เกี่ยวข้องกับอิหร่าน ความเสี่ยงนี้เป็นภัยต่อทั้งข้อมูลและความปลอดภัยส่วนตัว

คำแนะนำ

ผู้ที่มีความเสี่ยงควรติดตั้งซอฟต์แวร์จากแหล่งของผู้ผลิตอย่างเป็นทางการเท่านั้น และตรวจสอบผู้ติดต่อที่ไม่คาดคิดผ่านช่องทางที่เชื่อถือได้แยกต่างหาก ควรจำกัดการตั้งค่าความเป็นส่วนตัวของแอปรับส่งข้อความ ระวังไฟล์ที่ไม่ได้ร้องขอ และอัปเดตระบบปฏิบัติการกับซอฟต์แวร์ความปลอดภัยอย่างสม่ำเสมอ โดยเฉพาะเมื่อข้อความดูเหมือนมาจากเพื่อนร่วมงานหรือทีมสนับสนุน ฝั่งองค์กรควรแยกระบบที่ตรงกับตัวชี้วัดการบุกรุก ตรวจสอบคีย์ autorun ใน Windows registry และทบทวนการเชื่อมต่อ bot API ขาออกไปยัง Telegram ควรมองหาการเปิดโพรเซสที่ผิดปกติ โฟลเดอร์ระบบที่มีช่องว่างต่อท้าย และการเข้าถึงไดเรกทอรีข้อมูลของแอปรับส่งข้อความโดยไม่ได้รับอนุญาต การใช้ application control บล็อกไฟล์ที่รันจาก APPDATA และ ProgramData รวมถึงการเฝ้าดูหรือบล็อกทราฟฟิก API ของ Telegram ในที่ที่ไม่ใช่เครื่องมือทำงานที่ได้รับอนุมัติ จะช่วยลดความเสี่ยงได้

Indicators of Compromise (IoCs)

ตัวอย่างบางส่วน (คัดจากรายงาน Group-IB — รายการแฮชเต็มดูได้ในรายงานต้นทาง) โดยตัวชี้วัดถูก defang ไว้แล้ว:

แหล่งอ้างอิง

• HEAVYGRAM, Handala Hack, and Telegram C2 — Group-IB
• Iran-Linked Handala Hack Tied to HEAVYGRAM Telegram Backdoor That Can Steal Passwords — The Hacker News
• Hackers Turn Telegram Into a Command Center for HEAVYGRAM Surveillance Malware — Cyber Security News