Spyware HEAVYGRAM transforma o Telegram em canal de controle de dispositivos infectados
Pesquisadores de segurança cibernética identificaram detalhes sobre o funcionamento do HEAVYGRAM, um spyware desenvolvido para explorar o Telegram como mecanismo de comando e controle. Em vez de depender exclusivamente de servidores mantidos pelos criminosos, a ameaça utiliza recursos legítimos do mensageiro para receber ordens, transferir informações roubadas e administrar máquinas comprometidas.
A investigação do Group-IB encontrou 29 amostras relacionadas à operação. O conjunto inclui tanto carregadores, responsáveis por preparar a infecção, quanto cargas maliciosas instaladas posteriormente no dispositivo da vítima.
Como o HEAVYGRAM utiliza o Telegram
O malware se comunica por meio da API oficial de bots do Telegram. Dependendo da configuração, a operação pode utilizar um ou dois bots para identificar a máquina comprometida, registrar sua atividade, armazenar dados coletados e encaminhar novos componentes para o sistema.
Na prática, o aparelho infectado passa a funcionar como um cliente controlado remotamente. Os operadores podem enviar instruções, solicitar informações específicas e distribuir módulos adicionais sem precisar estabelecer uma infraestrutura própria e facilmente identificável.
Essa estratégia dificulta o bloqueio da ameaça. Como o tráfego passa por uma plataforma conhecida e amplamente utilizada, uma tentativa de interromper toda a comunicação com o Telegram poderia afetar usuários legítimos. Além disso, os criminosos não precisam manter servidores privados, registrar domínios ou substituir a infraestrutura sempre que ela é derrubada.
Recursos de espionagem e roubo de dados
Depois de instalado, o HEAVYGRAM oferece aos operadores diferentes funções de vigilância. Entre os recursos observados estão a captura de imagens da tela, a gravação de áudio e a coleta de informações armazenadas em cache.
O spyware também procura dados associados ao Telegram Desktop instalado no computador. Esse comportamento pode permitir o acesso a sessões, arquivos e informações vinculadas ao aplicativo, ampliando o impacto da infecção mesmo quando a vítima utiliza autenticação adicional em outros serviços.
Além da espionagem, o malware permite executar comandos remotamente, instalar novas cargas e apagar arquivos. Dessa forma, a ameaça pode ser adaptada conforme o objetivo da operação: coletar informações, manter persistência, implantar outros programas maliciosos ou eliminar vestígios da atividade.
Distribuição com arquivos aparentemente legítimos
A infecção começa, em muitos casos, com arquivos enviados por aplicativos de mensagens. Os documentos e programas são apresentados como ferramentas conhecidas ou serviços úteis, aumentando a probabilidade de que sejam abertos pelo destinatário.
Entre os nomes usados como disfarce estão Pictory, KeePass e aplicativos relacionados ao próprio Telegram. Algumas amostras foram distribuídas como scripts, enquanto outras assumem a forma de aplicações HTML, formato que pode parecer inofensivo para usuários sem conhecimento técnico.
O uso de marcas conhecidas é uma técnica de engenharia social. Ao reconhecer o nome de um programa ou serviço, a vítima tende a baixar e executar o arquivo com menos desconfiança. O risco aumenta quando o conteúdo chega acompanhado de uma mensagem urgente, de uma suposta atualização ou de um documento relacionado ao trabalho.
Quem está sendo atingido
A atividade é observada desde o segundo semestre de 2023 e tem como foco jornalistas, dissidentes iranianos e pessoas contrárias ao governo do Irã. O perfil dos alvos indica uma campanha direcionada, e não uma distribuição indiscriminada para o maior número possível de computadores.
Esse tipo de operação costuma combinar espionagem digital e monitoramento de comunicações. Ao obter capturas de tela, gravações de áudio e dados de aplicativos, os invasores podem acompanhar contatos, rotinas, documentos e interações das vítimas.
O Group-IB relaciona a campanha ao grupo Handala Hack, mas classifica essa atribuição com grau de confiança moderado. Isso significa que existem indícios compatíveis com a atuação do grupo, embora ainda não haja elementos suficientes para tratar a autoria como definitivamente comprovada.
Por que o uso de serviços legítimos é perigoso
O caso do HEAVYGRAM representa uma tendência conhecida como abuso de serviços legítimos. Nessa abordagem, o criminoso aproveita plataformas populares para esconder a comunicação maliciosa no tráfego cotidiano.
O método não torna o Telegram responsável pela infecção. O problema está na utilização indevida de sua infraestrutura por terceiros. Como a comunicação é feita dentro de um serviço real, ferramentas de segurança que procuram apenas conexões com endereços suspeitos podem não identificar o comportamento com facilidade.
A análise precisa observar outros sinais, como criação inesperada de processos, execução de scripts desconhecidos, acesso incomum a arquivos do Telegram Desktop, gravação não autorizada de áudio e transferência anormal de dados.
Medidas para reduzir o risco
Usuários devem evitar a execução de arquivos recebidos de contatos desconhecidos, mesmo quando os nomes utilizados parecem familiares. Programas legítimos devem ser obtidos exclusivamente por canais confiáveis, e qualquer pedido para desativar o antivírus ou alterar configurações de segurança deve ser tratado como um alerta.
Também é importante manter o sistema operacional, os navegadores e os aplicativos atualizados. Correções de segurança reduzem a possibilidade de exploração de vulnerabilidades que podem ser usadas para instalar componentes maliciosos.
A autenticação multifator ajuda a proteger contas, mas não impede todos os danos causados por um spyware. Se o dispositivo estiver comprometido, sessões já abertas e informações armazenadas localmente podem ser expostas. Por isso, diante de sinais suspeitos, a vítima deve interromper a conexão, remover o aparelho de redes sensíveis e realizar uma análise profissional.
Organizações que trabalham com informações confidenciais precisam adotar controles adicionais, como restrição à execução de scripts, monitoramento de processos, políticas de instalação de software e separação entre dispositivos pessoais e equipamentos usados para atividades sensíveis.
O HEAVYGRAM demonstra como uma ameaça relativamente sofisticada pode combinar engenharia social, espionagem e serviços populares para permanecer discreta. O uso do Telegram como canal de controle reduz os custos da operação e dificulta a identificação imediata, tornando a conscientização dos usuários e o monitoramento comportamental elementos essenciais para detectar a infecção.