Contexte et attribution

Le groupe iranien identifié comme Handala Hack, lié au ministère du renseignement et de la sécurité (MOIS), a été relié à la backdoor Telegram nommée HEAVYGRAM et à l’utilitaire Delphi CRUDEEXCLUDE. Les deux composants ont été observés pour la première fois fin juillet 2024, alors que HEAVYGRAM était déjà détecté dans la nature depuis septembre 2023. Le FBI et le NCSC britannique classifient ce même code sous le nom de CHOSEN BRICK, soulignant son usage répété contre des dissidents iraniens, des journalistes et d’autres cibles politiques.

Architecture et mécanismes de HEAVYGRAM

HEAVYGRAM s’installe via plusieurs vecteurs : scripts WSF/VBS, fichiers HTA, exécutables contenant des archives et le pré‑chargeur CRUDEEXCLUDE qui crée des répertoires de staging. Une fois exécuté, le malware désactive les analyses de Microsoft Defender sur les chemins contenant les charges utiles, puis utilise du PowerShell pour inscrire ses exécutables dans les clés d’autorun du registre Windows, assurant une persistance même après redémarrage. Le composant principal communique avec un bot Telegram ; le protocole C2 repose sur deux fonctions, send_initial_message (envoi du nom de domaine complet de la machine) et send_health_msg (battement de cœur quotidien).

Prefix @@  → os.popen(command)   # exécution arbitraire
Prefix **  → écrit le corps du message dans C:\ProgramData\ur.txt
Prefix ##  → active la suite de commandes backdoor:
    runexe  → lance un processus
    whois   → récupère l'IP publique via api.ipify.org
    runtro  → exécute une charge secondaire
    cht     → met à jour le token du bot Telegram
    regtro  → installe le trojan dans les clés d'autorun
    reg     → même que regtro, variante
    dt      → exfiltre les données de Telegram Desktop

Ces préfixes permettent à l’opérateur de contrôler le système à distance, d’extraire des captures d’écran, d’enregistrer le microphone, de copier les bases de données de Telegram et WhatsApp, et surtout de récupérer les mots de passe sauvegardés dans les navigateurs ou gestionnaires de mots de passe. Les fichiers reçus sont traités selon leur nom, ce qui facilite l’injection de modules additionnels.

Vecteurs de diffusion et contre‑mesures

La chaîne d’infection débute souvent par un ingénierie sociale sur Telegram, WhatsApp ou Instagram, où les victimes reçoivent un « installateur » légitime (ex. : Pictory, KeePass, même l’application officielle Telegram). Le fichier contiendra soit un exécutable avec archive intégrée, soit CRUDEEXCLUDE qui prépare le staging avant de déposer HEAVYGRAM. La capacité du malware à créer des exclusions Defender rend les solutions antivirus classiques inefficaces tant que les clés de registre ne sont pas nettoyées. La persistance via les autoruns et l’usage de PowerShell obligent les équipes de réponse à surveiller les modifications du registre (HKCU\Software\Microsoft\Windows\CurrentVersion\Run) et les appels à os.popen provenant de processus non‑autorisé.

Du point de vue de la détection, le trafic Telegram chiffré ne révèle pas directement les commandes, mais l’apparition de nouveaux bots ou de groupes associés à des identifiants inconnus doit déclencher une alerte. L’analyse des fichiers HTA et VBS en sandbox, ainsi que la recherche de signatures de CRUDEEXCLUDE (structures Delphi, chemins C:\ProgramData\ur.txt), constitue une première ligne de défense. Enfin, la désactivation des autoruns et la mise en place de listes blanches d’applications autorisées limitent la capacité du malware à s’ancrer durablement.