Иранская разведка использует шпионское ПО против диссидентов за рубежом

Целями становятся те, кого иранские власти считают противниками. География широкая: Великобритания, США, Нидерланды и ряд других стран. Украденное нередко всплывает на проиранских сайтах утечек. Сбор данных выходит далеко за пределы обычного кибершпионажа. Если такие сведения попадают к силовым структурам, они помогают в слежке, запугивании и подготовке нападений.

По данным аналитиков, добытые материалы раскрывают контакты человека, его местоположение и распорядок дня. Такая информация годится не только для разведки. Ведомство напоминает: иранские спецслужбы ранее планировали похищения и ликвидации неугодных за границей. Прямой связи между конкретным заражением и конкретным покушением пока не установлено. Но аналитики оценивают собранные сведения как основу для подготовки физических операций. Уверенность в причастности иранского министерства разведки оценивают как высокую.

Заражение обычно начинается с переписки. Операторы подолгу изучают жертву, а затем пишут ей в Telegram, WhatsApp или другой мессенджер. Они представляются знакомыми, сотрудниками организаций либо службой поддержки. Среди приманок - программы для монтажа видео, антивирус, менеджер паролей, обновление плеера и даже поддельные результаты МРТ. Когда защита корпоративного компьютера мешает, злоумышленник уговаривает человека перейти на личный ноутбук. Защиту компании обходят не техническим взломом, а разговором. Именно этот приём британские и американские специалисты выделяют отдельно.

После закрепления в системе программа делает снимки экрана, включает микрофон, копирует переписку и контакты, забирает почту и файлы. Она умеет удалять данные и полностью очищать диск, а также добавлять себя в список исключений антивируса. Управление идёт через Telegram-ботов. Каждая заражённая машина получает собственного бота, поэтому связать жертв между собой трудно. Часть трафика проходит через коммерческие прокси-сервисы, а похищенные файлы оседают в легитимных облачных хранилищах.

Автоматического распространения по сети не зафиксировано. Атакующие не стремятся захватить инфраструктуру целиком. Им нужен конкретный человек, его окружение и его привычки. Поэтому кампанию правильнее называть инструментом контрразведки, а не обычным шпионским ПО.

Похожая логика просматривается у китайской группировки FamousSparrow. С середины 2025 года около 90 процентов её атак пришлось на Латинскую Америку. Целями стали государственные структуры Аргентины, Эквадора, Гватемалы, Гондураса, Панамы, Перу, Пуэрто-Рико и Венесуэлы. Прежнюю программу SparrowDoor сменил переработанный инструмент SparroWocky. Он выполняет команды, ворует файлы, делает снимки экрана и подолгу остаётся незамеченным. Компания ESET связала новую разработку с прежними жертвами, что подтверждает авторство. Столь плотная концентрация на одном регионе нетипична для китайских групп. Вероятная причина - рост политической и экономической конкуренции США и Китая в этом полушарии.

Ещё один сюжет касается Северной Кореи. 18 сентября семь ведомств из Японии, США, Австралии и Германии официально приписали ей кампанию WaterPlum. С декабря 2025 года по июль 2026-го злоумышленники заразили не менее 30 тысяч компьютеров более чем в ста странах. Пострадали свыше семи тысяч криптовалютных кошельков, а в Пхеньян ушло около 10,7 миллиона долларов. Вербовка идёт под видом найма: разработчикам присылают тестовые задания и просят запустить чужой код. Через личный ноутбук программиста злоумышленники получают доступ к его рабочим учётным записям, репозиториям и облачным средам. Отдельно в отчёте говорится о северокорейских удалённых сотрудниках: их инфраструктура пересекается с инфраструктурой атакующих.

Замыкают список две уязвимости в защитных системах Cisco. Первая позволяет выполнить команды с правами администратора на почтовом шлюзе. Достаточно, чтобы на устройство пришло специально составленное письмо; открывать его не нужно. Вторая обходит проверку подлинности в системе управления доступом к сети. Обе уязвимости уже используют. Оценка одной из них достигает максимальных десяти баллов. Оба продукта стоят на доверенных участках инфраструктуры, где ошибка обходится особенно дорого. Публичных доказательств причастности конкретного государства к этим атакам нет. Приписывать их Китаю, России или Ирану без дополнительных данных нельзя.

Три описанные кампании указывают на общий сдвиг. Государственные группы всё чаще обходят корпоративную защиту через личные устройства и личные аккаунты сотрудников. Одновременно они прячут управляющие каналы и утечку данных в легитимных сервисах: мессенджерах, облачных хранилищах, репозиториях кода. Защита, построенная только на списках адресов и подписей, теряет эффективность. Компаниям стоит ограничить установку постороннего ПО на рабочие машины, внимательно следить за подозрительными вложениями и включить двухфакторную аутентификацию. Сотрудникам - настороженно относиться к предложениям о работе и тестовым заданиям из непроверенных источников. И своевременно закрывать уязвимости в почтовых шлюзах и системах управления доступом: именно эти системы становятся следующей целью.