LONDON / LONDON (IT BOLTWISE) – Die US-, britische und niederländische Cybersecurity-Gemeinschaft beschreibt eine Windows-Malware, die über Telegram-Bots gesteuert wird. Unter den Namen HEAVYGRAM und CHOSEN BRICK soll sie eingesetzt werden, um Chatverläufe und E-Mails zu kopieren, Screenshots zu erstellen und Audio über das Mikrofon aufzuzeichnen. Die Behörden ordnen die Kampagne einem staatlichen Nachrichtendienst zu und verweisen auf Aktivitäten, die sich über mehrere Länder und Jahre erstrecken. Für Verteidiger liefern die Hinweise konkrete Indikatoren wie Registry-Run-Einträge, Dateipfade und typische Netzwerkverbindungen.
Die neue Sicherheitswarnung ist in der Praxis vor allem deshalb brisant, weil sie die Steuerung einer Spionage-Software eng an einen allgemein bekannten Messenger koppelt: Laut dem gemeinsamen Advisory der US-Behörden, des britischen National Cyber Security Centre sowie der niederländischen Inlandsgeheimdienststelle AIVD läuft die Windows-Malware unter zwei Namen, nämlich HEAVYGRAM (FBI) und CHOSEN BRICK (NCSC). Diese Zuordnung ist keine Gerichtsentscheidung, aber sie beschreibt nach Behördenangaben eine real beobachtete Kampagnenlogik: Ein kompromittiertes System erhält pro Opfer einen eigenen Telegram-Bot, über den Befehle laufen und Daten abgezogen werden. Das reduziert zwar nicht das Risiko, erklärt aber, warum Sicherheitsteams oft „nur“ einzelne Ausfälle sehen, während die eigentliche Steuerung kanalisiert und fragmentiert bleibt.
Technisch betrachtet startet die Infektionskette mit einer Nachricht, die Vertrauen aufbaut: Die Angreifer geben sich als Kontakt aus, den das Opfer bereits kennt, oder als Tech-Support für eine Messaging-App, bevor sie eine Datei schicken, die wie legitime Software wirkt. Auffällig ist zudem das Vorgehen beim Einstiegspunkt. In vielen Fällen versuchen die Angreifer zunächst auf einem Arbeitsrechner zu landen; wenn das nicht gelingt, weichen sie laut Advisory auf persönliche Geräte aus, die in Unternehmen oft weniger konsequent abgesichert sind. Als Tarnungen nennen die Behörden unter anderem Inhalte, die sich in der Wahrnehmung wie bekannte Tools anfühlen, darunter ein KI-Video-App-Umfeld, ein Passwortmanager, Telegram selbst sowie Tools wie Norton Antivirus und sogar ein historisch bekanntes Browser-Plugin wie Adobe Flash Player. In mindestens einer Variante wurde der Dateiname außerdem so gestaltet, dass der Nutzer Ergebnisse aus einem medizinischen Kontext erwartet (z. B. wie MRI-Scan-Resultate).
Der eigentliche Trick liegt dann im Ablauf beim Öffnen: Wenn das Opfer die Datei startet, erscheint eine überzeugend gefälschte Oberfläche, während die echte Schadsoftware im Hintergrund installiert wird. Das Advisory beschreibt einen zweistufigen Aufbau: Zunächst agiert eine Komponente so, als wäre sie Teil der vorgetäuschten Anwendung; anschließend verbindet sich das System mit einem Telegram-Bot, der die Kontrolle übernimmt und gesammelte Daten einsammelt. Die Malware bleibt bislang auf Windows beschränkt, aber sie ist funktional breit. Sie kann laufende Programme auflisten, Screenshots aufnehmen, das Mikrofon aktivieren und Browserdaten aus Telegram und WhatsApp auslesen. Außerdem werden gespeicherte Passwörter sowie E-Mail-Adressen angegriffen, zusätzliche Module nachgeladen und Dateien gelöscht. Mindestens eine beobachtete Version soll sogar in der Lage sein, das System gezielt zu bereinigen, indem sie den Rechner wieder „blank“ machen kann.
Für die Persistenz und das Verbergen setzt die Schadsoftware auf sehr konkrete Mechanismen. Damit sie nach einem Neustart automatisch weiterläuft, bindet sich die Malware in die Windows-Startlogik über einen Registry-„Run“-Eintrag ein, sodass sie bei der Anmeldung erneut startet. Gleichzeitig soll sie laut Advisory bestimmte Ordner so markieren, dass Microsoft Defender diese Inhalte weniger bzw. gar nicht scannt. Operational bedeutet das: Selbst wenn ein klassischer Datei-Check greift, kann die Kombination aus Persistenz und Umgehung der Abtastroutine dafür sorgen, dass die eigentliche Aktivität wiederkehrt. Zusätzlich wirkt die Bot-Zuordnung pro Opfer wie eine Art Isolation auf Transportebene: Wenn jeder infizierte Rechner seinen eigenen Telegram-Bot erhält, mischt sich die Aktivität einzelner Zielpersonen nicht automatisch. Dazu passen auch die Hinweise auf neue Versionen, die ihre Telegram-Verbindungen über Proxy-Server schicken, um Verkehrs-Muster stärker zu verschleiern.
Für Verteidiger sind die Indikatoren besonders wertvoll, weil sie nicht nur theoretisch bleiben. Das Advisory und eine ergänzende FBI-Analyse nennen konkrete Signale, unter anderem einen Registry-Eintrag im „Run“-Zweig, der als Name SMQDService oder winappx auftauchen kann und so zur automatischen Ausführung führt. Ebenfalls auffällig: Dateipfade in einem Ordner wie C: Windows SysWOW64, bei dem die Malware zusätzliche Komponenten ablegt und dabei offenbar mit auffälligen Namenskonventionen arbeitet (etwa einem zusätzlichen Leerzeichen im Pfad). Auf Netzwerkebene werden unerwartete Verbindungen zu ansonsten üblichen Diensten genannt, darunter api.telegram.org sowie Cloud- und Storage-bezogene Hosts wie vultrobjects.com, storjshare.io, backblazeb2.com und weitere. Hinzu kommen Mutex-Namen, die die Malware setzt, um Mehrfachstarts zu verhindern, etwa ytyjyujyu oder noi672pp434awkc12f. Da Dateinamen und Ordner variieren können, empfehlen die Behörden ausdrücklich, die Signale nicht als „ausschließliche“ Erkennung zu behandeln, sondern als Teil einer Musterprüfung inklusive Hashes aus der Originalanalyse.
Für die Abwehr formulieren die Behörden sowohl Nutzer- als auch Admin-Empfehlungen. Für Einzelpersonen steht an erster Stelle: keine Dateien öffnen, die über Messenger-Kanäle oder Links geschickt werden, und Software nur aus offiziellen Quellen beziehen. Gleichzeitig raten sie, Betriebssysteme und Anwendungen konsequent aktuell zu halten, Antivirus-Software aktiv zu betreiben und SmartScreen-Warnungen nicht zu ignorieren. Administratoren sollen zudem phishing-resistente Multi-Faktor-Authentifizierung aktivieren, Application-Allowlisting und Managed-Device-Kontrollen einsetzen sowie die Scanfunktionen der E-Mail-Provider prüfen. Im Betrieb geht es dann darum, Computer und Netzwerkverkehr aktiv zu überwachen und Logs auf die oben genannten Muster zu durchsuchen. Wichtig ist auch die Einordnung: Das Advisory sagt nicht abschließend, ob das Entfernen der Malware allein die Kompromittierung vollständig beendet, daher ist ein strukturiertes Incident-Response-Vorgehen sinnvoll, inklusive Prüfung auf persistente Spuren.
Als strategische Einordnung ordnen die Behörden die Aktivität dem Umfeld eines iranischen Nachrichtendienstes zu; laut FBI wird die Malware dabei dem MOIS zugeordnet, während die Kampagne nach Angaben der Ermittler in den Zeitraum ab Herbst 2023 fällt. Besonders belastend ist dabei die Wirkung über reine Datenexfiltration hinaus: Die gesammelten Informationen können laut Advisory so detailliert sein, dass sie Kontakte, Aufenthaltsorte und Tagesabläufe sichtbar machen. Zudem weisen die Behörden darauf hin, dass persönliche Details einzelner Opfer auf pro-iranischen Leak-Seiten auftauchten, was das Risiko für die physische Sicherheit erhöhen kann. Aus IT-Sicht zeigt sich daran vor allem: Telegram als Nutzerschnittstelle ist nicht „nur“ ein Kommunikationskanal, sondern kann in solchen Kampagnen zur Steuer- und Abflussinfrastruktur werden. Genau deshalb sollten Unternehmen ihre Sicherheitskontrollen nicht nur auf E-Mail und klassische Downloads ausrichten, sondern die gesamte Kette rund um Messenger-Nachrichten, Endpunkt-Persistenz und verdächtige Telegram-/Proxy-Verbindungen mitdenken.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HEAVYGRAM und CHOSEN BRICK: Telegram-gesteuerte Windows-Malware für Spionage" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HEAVYGRAM und CHOSEN BRICK: Telegram-gesteuerte Windows-Malware für Spionage" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HEAVYGRAM und CHOSEN BRICK: Telegram-gesteuerte Windows-Malware für Spionage« bei Google Deutschland suchen, bei Bing oder Google News!