El FBI advierte que hackers iraníes usan Telegram para ataques de malware

El viernes, el FBI publicó una alerta advirtiendo que hackers del gobierno iraní están utilizando la plataforma de mensajería Telegram para robar datos de disidentes, grupos de oposición y periodistas en todo el mundo. Según la agencia, los hackers responsables de estos ataques presuntamente trabajan para el Ministerio de Inteligencia y Seguridad de Irán (MOIS). El FBI declaró que estos ataques sirven como ejemplo de los intentos del gobierno iraní por impulsar la agenda geopolítica del régimen.

La campaña de ciberespionaje se basa en un proceso de ingeniería social de varias etapas. Primero, los hackers contactan a sus objetivos y fingen ser un contacto conocido o soporte técnico. Luego, se engaña a los objetivos para que acepten un enlace a un archivo malicioso que se disfraza de aplicaciones legítimas, como Telegram o WhatsApp. Una vez que el objetivo instala este malware, la segunda etapa del ataque conecta el dispositivo infectado a bots de Telegram. Esta configuración establece un comando y control —un método utilizado por los atacantes para controlar dispositivos infectados de forma remota—, lo que permite a los hackers obtener control remoto de los dispositivos de las víctimas para robar archivos, tomar capturas de pantalla y grabar llamadas de Zoom. Usar Telegram de esta manera es una técnica común para que los hackers oculten actividades maliciosas dentro del tráfico de red legítimo, lo que dificulta la detección para los defensores de la ciberseguridad.

En su alerta, el FBI también hizo referencia a Handala, al que caracterizó como un grupo hacktivista falso proiraní y propalestino, aunque la agencia señaló que no está claro si los ataques específicos mencionados en la alerta fueron llevados a cabo por este grupo. El Departamento de Justicia de EE. UU. ha acusado a Handala de ser una fachada del gobierno de Irán, específicamente del MOIS. Handala se atribuyó anteriormente la responsabilidad de un ciberataque a la empresa de tecnología médica Stryker, que resultó en el borrado de decenas de miles de dispositivos de empleados. El lunes, Stryker presentó un formulario 8-K —un informe de eventos materiales no programados— ante la Comisión de Bolsa y Valores de EE. UU. (SEC), declarando que la empresa aún se está recuperando del hackeo.

Al ser contactado para hacer comentarios, el portavoz de Telegram, Remi Vaughn, declaró que los “moderadores de la plataforma eliminan rutinariamente cualquier cuenta que se encuentre involucrada con malware”. Un portavoz del FBI se negó a proporcionar más detalles sobre la situación, declarando que la agencia no tenía nada más que añadir.

Por qué importa

La alerta del FBI destaca cómo los actores patrocinados por estados están explotando cada vez más plataformas legítimas y ampliamente utilizadas como Telegram para enmascarar actividades maliciosas. Esta táctica crea desafíos significativos para los defensores de la ciberseguridad que intentan distinguir entre el tráfico de red normal y el espionaje.