El FBI y el NCSC detallan HEAVYGRAM, el malware iraní que se controla por Telegram
Tres agencias publican un aviso conjunto sobre la herramienta que el Ministerio de Inteligencia iraní usa contra disidentes y periodistas desde 2023.
El NCSC británico, el FBI y el AIVD neerlandés publicaron el 15 de septiembre un aviso conjunto sobre una familia de malware para Windows que atribuyen al Ministerio de Inteligencia y Seguridad de Irán (MOIS). El FBI la llama HEAVYGRAM y el centro británico CHOSEN BRICK. Se controla con un bot de Telegram y puede copiar correo y mensajes, hacer capturas de pantalla y encender el micrófono para grabar audio.
El texto se apoya en un análisis actualizado del FBI que amplía una alerta de marzo de 2026, la primera que describió la campaña. Esta arranca, según las agencias, en otoño de 2023 y apunta a disidentes iraníes, periodistas críticos y activistas, con casos confirmados en Reino Unido, Estados Unidos y Países Bajos. El FBI avisa de que cualquiera a quien Irán considere de interés puede acabar en la lista.
El daño no se queda en los datos robados. Las capturas dejan a la vista contactos, ubicación y rutinas diarias, y parte de ese material ha acabado en sitios de filtraciones proiraníes, lo que eleva el riesgo físico de las víctimas. En marzo, el Departamento de Justicia estadounidense se incautó de cuatro de esas webs.
Cómo entra y qué hace
Todo empieza con un mensaje. Los atacantes se hacen pasar por un conocido o por el soporte técnico de una aplicación de mensajería y envían un archivo que parece un programa legítimo. Suelen empezar por el equipo de trabajo; si no les funciona, saltan al dispositivo personal, fuera de la protección corporativa. Entre los disfraces documentados están Pictory, KeePass, el propio Telegram, RunwayML, Norton Antivirus o Adobe Flash Player, y en algún caso el fichero simulaba resultados de una resonancia magnética. Al abrirlo aparece una pantalla falsa convincente mientras la instalación real ocurre por detrás.
La primera etapa se hace pasar por la aplicación; la segunda conecta el equipo con un bot de Telegram desde el que se controla y se recoge lo robado. Todas las versiones vistas hasta ahora son de Windows. Para sobrevivir al reinicio se anota en una clave Run del registro y pide a Microsoft Defender que excluya ciertas carpetas del escaneo. Cada equipo infectado tiene su propio bot, para que la actividad de una víctima no se mezcle con la de otra.
Una vez en marcha acepta órdenes: listar procesos, capturar pantalla, encender el micrófono, copiar datos de Telegram y WhatsApp guardados en el navegador, robar contraseñas, descargar herramientas adicionales y borrar archivos. Al menos una versión puede dejar el equipo inservible. No se ha visto que se propague sola por la red. La exfiltración sale por el bot y por almacenamiento en nube como Vultr y Storj, y las versiones recientes enrutan el tráfico de Telegram por proxies.
Qué mirar
Los indicadores que un administrador puede buscar incluyen una entrada en la clave Run llamada SMQDService o winappx, la ruta C:\Windows \SysWOW64 —con un espacio añadido— donde deja archivos auxiliares, conexiones a servicios por lo demás legítimos como api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com o lightningproxies.net, y mutex como ytyjyujyu o noi672pp434awkc12f. Los nombres de archivo cambian, así que no son la única señal. El aviso trae la lista completa con hashes.
Para protegerse, las agencias piden no abrir archivos recibidos por mensaje, descargar software solo de webs oficiales, mantener todo actualizado y no ignorar los avisos de SmartScreen. A quien administra redes le toca MFA resistente al phishing, listas blancas de aplicaciones y revisión de registros. El detalle incómodo es el canal de mando: api.telegram.org es tráfico legítimo en media empresa, así que bloquearlo a lo bruto no es una opción, y los avisos no aclaran si borrar el programa basta para dar por limpio un equipo.
