С осени 2023 года программа удалённого доступа HEAVYGRAM применяется против иранских диссидентов, журналистов и людей, чьи взгляды расходятся с позицией правительства Ирана. Управление заражёнными компьютерами идёт через Telegram: оператор отправляет команды обычными сообщениями и там же получает отчёт об их выполнении. Программа работает на Windows, снимает изображение экрана, собирает файлы и запускает произвольные команды. Жертва обычно узнаёт о слежке последней, когда данные уже ушли. За вывеской движения, называющего себя борцом с Израилем, стоит, по оценкам, подразделение иранской разведки: на это указывает и инфраструктура группировки, и набор инструментов, и выбор целей.
Описание
Атака начинается с переписки. Пишущий представляется знакомым или сотрудником технической поддержки и предлагает установить нужное приложение. Вместе с ним приходит замаскированный файл: он выдаёт себя за сервис для работы с видео, менеджер паролей или сам мессенджер. Часть приманок оформлена на персидском языке и выглядит как списки отчисленных студентов, что указывает на интерес к преподавателям, активистам и учащимся. Такой подход требует не технических ухищрений, а точного знания аудитории.
Исследование Group-IB показало, что семейство продолжает развиваться: аналитики нашли 29 новых образцов, включая загрузчики и дополнительные модули. Работа опиралась на материалы Министерства юстиции США, которое в марте 2026 года объявило об изъятии четырёх доменов, связанных с иранской разведкой, а также на бюллетень ФБР о применении Telegram для управления вредоносным кодом. Именно тогда в открытых документах и появилось название HEAVYGRAM. Сами находки Group-IB отнесла к этой же кампании с умеренной уверенностью.
Цепочка заражения состоит из нескольких шагов. Сначала жертву уговаривают запустить безобидный на вид сценарий или документ. Он незаметно обращается к стороннему хранилищу и подгружает оттуда остальные компоненты. Затем на компьютер попадает постоянный модуль, написанный на Python и упакованный в один исполняемый файл. Он закрепляется в системе через ключи автозапуска Windows и выходит на связь с оператором. Оттуда же приходят новые задачи: снять экран, отправить список запущенных процессов, забрать данные приложения Telegram.
Отдельное семейство CRUDEEXCLUDE имитирует легитимные приложения вместе с их интерфейсом. Установщик добавляет служебные каталоги в исключения встроенного защитника Windows, чтобы тот не мешал работе. Пользователь видит привычное окно программы, а вредоносные действия идут в фоне. Аналитики отмечают и другие приёмы: программа отказывается работать на машине с определённым именем, проверяет наличие интернета и только потом разворачивает основной код. Оператор умеет подгружать сторонние библиотеки через легитимный системный процесс, спрятав их в каталоге, чьё имя отличается от настоящего системного одной невидимой деталью.
Связь держится на сети ботов, пользователей и групп. Несколько из них применялись сразу в разных образцах. Группы оформлены однотипно: на аватаре случайное женское фото, в названии персидское имя. Как минимум в одном случае использовали настоящее имя и фотографию иранской диссидентки. По состоянию на 2026 год значительная часть инфраструктуры по-прежнему доступна в мессенджере, хотя некоторые аккаунты перешли к посторонним и теперь применяются для других целей. Готовый шифрованный канал почти ничего не стоит содержать, а перенос управления на новый бот занимает считаные минуты. Блокировка отдельных записей на работу кампании почти не влияет.
Среди пострадавших - сотрудники лондонского издания Iran International, выходящего на персидском языке. В июле 2025 года редакция подтвердила, что утечка сведений о её журналистах связана с проникновениями летом 2024 года и в январе 2025 года, когда злоумышленники получили доступ к учётным записям в Telegram. Обе даты укладываются в хронологию, описанную ФБР. Похищенные материалы затем использовали для публичного разоблачения, запугивания и угроз физической расправы, что превращает слежку в инструмент давления. Для работающих в изгнании журналистов это означает прямую угрозу не только репутации, но и безопасности близких.
Частным пользователям стоит скачивать программы только с официальных сайтов разработчиков, проверять личность собеседника через другой канал связи и ограничивать настройки приватности в социальных сетях и мессенджерах. Обновления системы лучше не откладывать. Организациям имеет смысл запретить запуск исполняемых файлов из папок, куда может писать обычный сотрудник, и следить за исходящими обращениями к серверам Telegram, если мессенджер не используется в рабочих процессах. Отдельного внимания требует проверка разделов автозапуска на посторонние записи. Полезно заранее договориться, как сотрудники действуют при подозрении на заражение: отключают машину от сети и передают её специалистам.
Точное число пострадавших не раскрывается. Собранные материалы говорят о другом: один и тот же набор программ за три года применялся против всё новых категорий жертв, а его инфраструктура по-прежнему доступна. Пока операторы могут заводить новых ботов и находить новые приманки, повторение атак требует от них минимум усилий. Госсектору и медиакомпаниям в зоне риска стоит учитывать этот сценарий при обучении сотрудников.
Индикаторы компрометации
