Malware z Telegrama i torrentów uderza w Windows

Podmienione torrenty jako furtka do infekcji

Najnowsza kampania cyberprzestępcza pokazuje, że popularne źródła plików mogą zostać wykorzystane przeciwko samym użytkownikom. Atakujący przejęli publiczny serwis z plikami torrent, z którego korzystało wiele trackerów, i zaczęli podsuwać ofiarom spreparowane pliki zamiast legalnych treści.

Zamiast filmu użytkownik pobierał jednak malware dla Windows. Cała akcja była szczególnie skuteczna, bo nie wymagała łamania zabezpieczeń każdego trackera z osobna — wystarczyło przejąć jedną wspólną infrastrukturę, z której korzystały liczne serwisy BitTorrent.

Film jako przynęta, exe jako właściwy ładunek

Przestępcy wykorzystywali popularne tytuły filmowe jako wabik. W jednym z opisanych przypadków chodziło o film „L’Odyssée”, a złośliwy plik miał nazwę:

the odyssey (2026) [1080p] [webrip] [5.1].exe

Długi, pozornie „filmowy” tytuł miał ukryć prawdziwą naturę pliku i zamaskować końcówkę .exe. Dodatkowo złośliwy program korzystał z ikony przypominającej znaną aplikację, co miało zwiększyć szanse na kliknięcie.

MovieReaper i wieloetapowa infekcja

Atak został opisany jako kampania z użyciem modułowego frameworka MovieReaper. Po uruchomieniu zainfekowanego pliku uruchamiał się łańcuch kilku etapów:

1. Loader – pobierał kolejne elementy z internetu i próbował unikać wykrycia przez antywirusy oraz sandboxy.
2. Shellcode – odwoływał się do blockchaina Solana, aby pobrać zaszyfrowany adres drugiego serwera C2.
3. Obejście UAC i persystencja – komponent działający w pamięci kopiował plik do katalogu C:\ProgramData\Microsoft\Windows\Telemetry\msedge.exe i uruchamiał go ponownie.
4. Końcowy moduł zarządzania plikami – dawał atakującym szerokie możliwości pracy na danych ofiary.

Zestaw funkcji końcowego modułu obejmował m.in. pobieranie i wysyłanie plików, odczyt, usuwanie, przenoszenie, tworzenie linków symbolicznych oraz generowanie podglądów obrazów i dokumentów przed ich wyciekiem.

Dlaczego Solana utrudnia obronę

Wykorzystanie blockchaina Solana nie było przypadkowe. Adres drugiego serwera C2 był zapisany w koncie na łańcuchu bloków, więc samo zablokowanie pojedynczej domeny czy IP nie wystarczało. Atakujący mogli aktualizować zawartość tego konta i wskazywać nowe serwery, bez konieczności zmiany całej infrastruktury infekcji.

To sprawia, że kampania jest bardziej odporna na tradycyjne działania obronne i szybsza w reakcji na blokady.

Setki ofiar w wielu krajach

Według ustaleń badaczy kampania objęła setki ofiar w wielu państwach, m.in. w:

• Hiszpanii,
• Niderlandach,
• Belgii,
• Niemczech,
• Finlandii,
• Rosji,
• Turcji,
• Japonii,
• Kenii,
• Kolumbii.

Ofiarami były nie tylko osoby prywatne, ale też organizacje z sektorów takich jak administracja, IT, doradztwo i rolnictwo.

Druga kampania: szpiegowanie przez Telegram

Równolegle opisana została inna aktywność wymierzona w użytkowników Windows. Tym razem chodzi o malware używany do szpiegowania dysydentów, dziennikarzy i aktywistów, kontrolowany przez Telegram.

Wspólne ostrzeżenie wydały służby i agencje cyberbezpieczeństwa ze Stanów Zjednoczonych, Wielkiej Brytanii i Niderlandów. Narzędzie to funkcjonuje pod nazwami:

• HEAVYGRAM – nazwa używana przez FBI,
• CHOSEN BRICK – nazwa używana przez brytyjskie NCSC.

Badacze przypisują kampanię irańskiemu Ministerstwu Wywiadu i Bezpieczeństwa, a jej szerszy zasięg datują co najmniej od jesieni 2023 roku.

Jak działa Telegramowy spyware

Atak zaczynał się od wiadomości podszywającej się pod kogoś znajomego albo pod wsparcie techniczne. Ofiara dostawała plik wyglądający jak legalny program, np.:

• Pictory,
• KeePass,
• Telegram,
• RunwayML,
• Norton Antivirus,
• Adobe Flash Player.

W niektórych przypadkach plik miał udawać wyniki badania MRI. Po uruchomieniu pojawiał się wiarygodny ekran, a właściwy malware instalował się w tle.

Pierwszy etap podszywał się pod aplikację, a drugi łączył komputer z Telegram botem kontrolowanym przez atakujących. Każda ofiara dostawała osobnego bota, co ograniczało mieszanie danych między celami.

Co potrafi CHOSEN BRICK

Po instalacji malware mógł:

• listować uruchomione procesy,
• robić zrzuty ekranu,
• włączać mikrofon,
• kopiować dane z Telegrama i WhatsApp z przeglądarki,
• kraść zapisane hasła i adresy e-mail,
• pobierać dodatkowe złośliwe narzędzia,
• usuwać pliki.

W co najmniej jednej wersji wykryto także funkcję zdalnego wymazania komputera.

Ślady, które mogą pomóc w wykryciu

W materiałach ostrzegawczych wskazano kilka sygnałów mogących świadczyć o infekcji. Wśród nich są:

• wpis w kluczu rejestru Run o nazwie SMQDService lub winappx,
• katalog C:\Windows \SysWOW64 z dodatkową spacją w ścieżce,
• połączenia z usługami takimi jak api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com i lightningproxies.net,
• nietypowe mutexy, np. ytyjyujyu i noi672pp434awkc12f.

Trzeba jednak pamiętać, że nazwy plików i folderów mogą się zmieniać, więc nie są to jedyne możliwe wskaźniki kompromitacji.

Jak się chronić

W obu opisanych kampaniach widać to samo ryzyko: zaufanie do niezweryfikowanego pliku. Dlatego najważniejsze zasady pozostają proste:

• nie otwierać plików przesyłanych w wiadomościach,
• pobierać oprogramowanie tylko z oficjalnych źródeł,
• utrzymywać system i aplikacje w aktualnej wersji,
• korzystać z aktywnego antywirusa,
• nie ignorować ostrzeżeń typu SmartScreen,
• w firmach wdrażać phishing-resistant MFA, allowlisting aplikacji i kontrolę urządzeń.

Jeśli pojawia się podejrzenie infekcji, warto sprawdzić wskazane ślady w rejestrze i skontaktować się z zespołem IT lub właściwą krajową agencją cyberbezpieczeństwa.

Wspólny mianownik: socjotechnika i ukryta infrastruktura

Choć opisane kampanie różnią się celem, obie pokazują podobny schemat działania: zachęta do kliknięcia, ukryty payload i zdalna infrastruktura trudna do wyłączenia. W pierwszym przypadku atakujący wykorzystali torrenty i blockchain, w drugim — Telegram oraz fałszywe aplikacje.

Dla użytkowników Windows oznacza to jedno: nawet zwykły plik wyglądający jak film czy komunikator może być początkiem bardzo poważnego incydentu.