Spionaggio Iraniano via Telegram: malware Windows colpisce dissidenti e giornalisti, rubando identità, chat, posizione e abitudini

Le agenzie di cybersicurezza di Stati Uniti, Regno Unito e Paesi Bassi hanno descritto una campagna di cyber spionaggio attribuita ai servizi di intelligence iraniani che utilizza un malware Windows controllato tramite Telegram. Il codice malevolo viene indicato con nomi diversi nei report tecnici, ma l’obiettivo è unico: colpire dissidenti, giornalisti, attivisti e persone considerate di interesse anche fuori dall’Iran.

La minaccia non riguarda solo il furto di file, ma anche la raccolta di elementi utili a ricostruire identità, contatti, posizione e abitudini quotidiane, aumentando i rischi per la sicurezza personale delle vittime.

La catena di infezione parte spesso da un messaggio mirato. Gli attaccanti si presentano come contatti affidabili o come supporto tecnico di app di messaggistica e, dopo una fase di costruzione della fiducia, inviano un file che sembra un programma legittimo. Tra i travestimenti segnalati compaiono strumenti noti come password manager, software di sicurezza, applicazioni di video AI e perfino finti aggiornamenti di player o documenti sanitari. In diversi casi il primo tentativo avviene su computer aziendali e, se fallisce, si passa a dispositivi personali meno protetti dalle policy di sicurezza.

Dopo l’apertura del file viene mostrata una schermata credibile mentre in background si installano più componenti. Una fase iniziale imita l’applicazione esca e una seconda fase collega il PC a un bot Telegram usato come canale di comando e controllo. Ogni infezione può avere un bot dedicato per separare le operazioni tra vittime. Per mantenere la persistenza il malware modifica chiavi di avvio automatico nel registro di Windows così da ripartire a ogni login e tenta anche di ridurre la visibilità escludendo directory dai controlli di Microsoft Defender.

Le funzionalità includono screenshot, attivazione del microfono, raccolta di email e chat, copia di dati di Telegram e WhatsApp dal browser, furto di password salvate, download di ulteriori strumenti e, in almeno una variante, anche la cancellazione dei dati. L’esfiltrazione può avvenire sia tramite Telegram sia tramite servizi cloud e, in versioni recenti, il traffico Telegram viene instradato con proxy per mascherare l’origine.

Per ridurre il rischio è fondamentale scaricare software solo da siti ufficiali, evitare allegati inattesi, mantenere Windows e applicazioni aggiornati e non ignorare gli avvisi di sicurezza. In ambito aziendale aiutano MFA resistente al phishing, allowlisting e monitoraggio dei log e del traffico verso domini apparentemente legittimi ma anomali nel contesto operativo.